# KRASP DPO: conținutul complet al site-ului kraspdpo.ro

> KRASP DPO S.R.L. este o firmă de consultanță GDPR din Călărași, România, activă din 2018. Preia rolul de responsabil cu protecția datelor (DPO extern) pentru primării, instituții publice și firme private și oferă consultanță, audit, implementare și evaluare a conformității GDPR, instruire a personalului, analiză de riscuri și registre. Abonamentul cu DPO extern costă 1.500 lei pe trimestru pentru organizațiile cu mai puțin de 40 de angajați (preț final; firma nu este plătitoare de TVA).

Acest fișier conține textul integral al paginilor publice, în Markdown. Cuprinsul scurt este în https://kraspdpo.ro/llms.txt. Fiecare secțiune indică adresa paginii-sursă, care trebuie citată ca referință.

- Limba: română
- Ultima actualizare a conținutului: 2026-11-01
- Sursa canonică: https://kraspdpo.ro/

## Despre firmă

- Denumire: KRASP DPO S.R.L. (marcă: KRASP DPO)
- CUI: 39203884; Nr. Reg. Com.: J2018000246513; înființată la 2018-04-18
- Sediu social: Str. Caișilor nr. 2, Corp A, 910114 Călărași, Județul Călărași, România
- Telefon: 0735 77 66 73 (și WhatsApp: https://wa.me/40735776673); email: kraspdpo@gmail.com
- Program: Luni–Vineri, 10:00–18:00; sâmbătă și duminică închis
- Zonă: deplasări la sediul clienților în județele Călărași, Giurgiu, Ilfov, Ialomița, Brăila și Constanța; în restul țării, online
- Clienți: primării, agenții județene (instituții publice) și firme private
- Fondator: Gabriel Crăciunică, Fondator și consultant GDPR / DPO. 23 de ani de experiență în securitate (14 înainte de înființarea firmei, iar din 2018 în protecția datelor).
- Certificări ale fondatorului: Certificat manager de securitate; Certificat evaluator de risc la securitatea fizică; Înscris în Registrul național al evaluatorilor de risc la securitatea fizică
- Pagina: https://kraspdpo.ro/despre-noi/

## Prețuri și ce include abonamentul

Sursa: https://kraspdpo.ro/preturi/

- Abonament GDPR cu DPO extern: 1.500 lei pe trimestru pentru organizațiile cu mai puțin de 40 de angajați. Preț final: firma nu este plătitoare de TVA.
- Peste 40 de angajați, prețul crește în funcție de numărul de angajați și se stabilește prin ofertă.
- Abonamentul include:
  - Rolul de DPO extern: desemnare și comunicarea către ANSPDCP
  - Întocmirea registrului riscurilor
  - Evaluarea periodică a riscurilor
  - Consilierea personalului de conducere și de execuție
  - Instructaj GDPR periodic pentru personal
- Separat, prin ofertă: auditul inițial, implementarea completă a documentației, analize de risc sau registre comandate individual.

#### Întrebări despre prețuri

**Cât costă un DPO extern?**
La KRASP DPO, abonamentul cu DPO extern costă 1.500 lei pe trimestru pentru organizațiile cu mai puțin de 40 de angajați. Pentru organizațiile mai mari, prețul se stabilește în funcție de numărul de angajați.

**Prețul include TVA?**
KRASP DPO S.R.L. nu este înregistrată în scopuri de TVA, așa că nu se adaugă TVA. Prețul din ofertă este prețul final.

**Cum se plătește abonamentul?**
Pe bază de contract și factură, trimestrial. Pentru instituțiile publice pregătim documentele necesare achiziției.

**De ce depinde prețul pentru organizațiile mai mari?**
În principal de numărul de angajați. Contează și numărul de sedii, dacă prelucrați date sensibile (de exemplu, date medicale) și dacă aveți sisteme extinse de supraveghere video.

**Pot contracta doar un audit sau doar o instruire?**
Da. Auditul, implementarea, instruirea sau analiza de riscuri se pot contracta separat. Pentru acestea facem o ofertă după o scurtă discuție despre organizație.

## Servicii

Sursa: https://kraspdpo.ro/servicii/

### DPO extern: responsabil cu protecția datelor pentru instituții și firme

Sursa: https://kraspdpo.ro/servicii/dpo-extern/ · actualizat 2026-11-01

Un DPO extern este responsabilul cu protecția datelor (Data Protection Officer) pe care îl contractați ca serviciu, în loc să angajați pe cineva pentru acest rol. Primăriile și celelalte autorități publice sunt obligate să desemneze un DPO, iar firmele îl pot desemna voluntar. KRASP DPO preia acest rol cu abonament de 1.500 lei pe trimestru pentru organizațiile sub 40 de angajați.

#### Ce primiți

- Desemnarea ca responsabil cu protecția datelor, cu actul de desemnare pregătit pentru semnare
- Comunicarea datelor de contact ale DPO către ANSPDCP (art. 37 alin. 7 GDPR)
- Întocmirea registrului riscurilor
- Evaluarea periodică a riscurilor
- Consilierea personalului de conducere și de execuție pe problematica GDPR
- Instructaj GDPR periodic pentru personal

#### Ce este un DPO extern

Un DPO extern este un responsabil cu protecția datelor care nu face parte din personalul organizației, ci își exercită rolul pe baza unui contract de servicii. Regulamentul (UE) 2016/679 (GDPR) permite explicit această variantă, la art. 37 alin. (6): responsabilul poate fi un angajat sau poate îndeplini sarcinile în baza unui contract de prestări servicii.

În practică, KRASP DPO preia rolul de responsabil cu protecția datelor pentru organizația dumneavoastră. Suntem desemnați oficial, datele noastre de contact sunt comunicate către ANSPDCP și publicate, iar angajații, cetățenii, clienții și autoritatea de supraveghere au un interlocutor clar pentru orice problemă legată de datele personale.

Sarcinile unui DPO sunt stabilite de art. 39 GDPR:

- informează și consiliază conducerea și angajații cu privire la obligațiile care le revin;
- monitorizează respectarea regulamentului și a politicilor interne;
- oferă consiliere la evaluarea impactului asupra protecției datelor (DPIA);
- cooperează cu ANSPDCP și este punctul de contact pentru aceasta.

#### Cine are nevoie de un responsabil cu protecția datelor

Desemnarea unui DPO este obligatorie în trei situații, prevăzute de art. 37 alin. (1) GDPR:

- **autoritățile și organismele publice**, cu excepția instanțelor care acționează în exercitarea funcției judiciare. Aici intră primăriile, consiliile județene, agențiile și direcțiile județene, unitățile de învățământ de stat;
- organizațiile ale căror activități principale presupun **monitorizarea periodică și sistematică, pe scară largă**, a persoanelor;
- organizațiile ale căror activități principale presupun prelucrarea **pe scară largă a categoriilor speciale de date**, cum sunt datele privind sănătatea, sau a datelor privind condamnări penale.

Pentru o primărie sau o instituție publică județeană, întrebarea nu este dacă aveți nevoie de DPO, ci cine îndeplinește rolul. Criteriile sunt explicate pe larg în ghidul [cine are obligația să desemneze un DPO](https://kraspdpo.ro/ghid-gdpr/cine-are-nevoie-de-dpo/), iar situația administrației locale este tratată separat pe pagina [GDPR pentru primării](https://kraspdpo.ro/gdpr-pentru/primarii/).

Pentru autoritățile publice, Legea 190/2018 prevede un regim de sancționare distinct: la prima constatare, ANSPDCP aplică avertisment și un plan de remediere, iar dacă măsurile nu sunt duse la capăt urmează amenda, între 10.000 și 200.000 lei. Detalii despre acest mecanism găsiți în ghidul despre [amenzile aplicate de ANSPDCP](https://kraspdpo.ro/ghid-gdpr/amenzi-gdpr-anspdcp/).

Firmele private care nu se încadrează în cazurile de mai sus pot desemna un DPO voluntar. Mulți patroni de IMM-uri aleg varianta externă pentru a avea pe cine suna când apare o cerere de acces, un control sau un incident, fără să angajeze o persoană doar pentru acest rol.

#### DPO intern sau DPO extern

| Criteriu | DPO intern (angajat) | DPO extern (KRASP DPO) |
|---|---|---|
| Bază legală | contract individual de muncă | contract de prestări servicii, art. 37 alin. (6) GDPR |
| Cost | salariu, contribuții, cursuri de formare | abonament trimestrial fix |
| Conflict de interese | risc real dacă persoana cumulează alte funcții (art. 38 alin. 6) | independent de structura internă |
| Experiență | trebuie construită în timp | aplicată deja la primării, agenții județene și firme |
| Continuitate | afectată de concedii și plecări din organizație | nu depinde de fluctuația personalului propriu |

#### Ce include abonamentul DPO extern

Abonamentul trimestrial acoperă rolul de DPO pe toată durata contractului, nu doar o vizită. Concret, include:

- **Desemnarea oficială ca DPO.** Pregătim actul de desemnare (dispoziție sau decizie pentru instituțiile publice, decizie a administratorului pentru firme) și comunicăm datele de contact ale DPO către ANSPDCP, conform art. 37 alin. (7). Vă indicăm și unde trebuie publicate aceste date.
- **Întocmirea registrului riscurilor.** Identificăm riscurile pentru datele personale din activitatea dumneavoastră și le documentăm într-un [registru al riscurilor](https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/), cu măsurile de reducere a fiecăruia.
- **Evaluarea periodică a riscurilor.** Reluăm evaluarea la intervale regulate și ori de câte ori se schimbă ceva important: un program informatic nou, un sediu nou, camere video, un furnizor nou.
- **Consilierea personalului de conducere și de execuție.** Răspundem la întrebările conducerii și ale angajaților despre formulare, contracte cu furnizori, publicarea documentelor, cererile persoanelor vizate sau incidentele de securitate.
- **Instructaj periodic al personalului.** Instruim periodic angajații care lucrează cu date personale, pe exemple din activitatea lor, iar instructajul rămâne consemnat la dosar. Detalii pe pagina despre [instruirea GDPR a angajaților](https://kraspdpo.ro/servicii/instruire-gdpr-angajati/).

Ca responsabil desemnat, suntem și punctul de contact pentru ANSPDCP și pentru persoanele ale căror date le prelucrați, conform art. 38 și 39 GDPR. Pașii de urmat la un incident sunt descriși în ghidul despre [notificarea unui incident de securitate în 72 de ore](https://kraspdpo.ro/ghid-gdpr/incident-securitate-date-72-ore/).

#### Cum lucrăm

1. **Discuție inițială.** Stabilim telefonic sau online ce activitate aveți, câți angajați sunt și ce documentație GDPR există deja.
2. **Ofertă și contract.** Pentru organizațiile sub 40 de angajați prețul este fix; peste acest prag trimitem o ofertă scrisă.
3. **Verificarea punctului de plecare.** Dacă documentația lipsește sau este depășită, vă recomandăm întâi [implementarea GDPR](https://kraspdpo.ro/servicii/implementare-gdpr/), pentru ca DPO-ul să aibă ce monitoriza.
4. **Desemnare și comunicare către ANSPDCP.** Pregătim actul de desemnare, îl semnați, iar noi transmitem datele de contact ale DPO.
5. **Activitate curentă.** Pe parcursul fiecărui trimestru răspundem la întrebări, tratăm cererile și incidentele și urmărim conformitatea.
6. **Raport și planificare.** La intervale stabilite prin contract vă transmitem raportul și prioritățile pentru perioada următoare.

#### Ce primiți

- un responsabil cu protecția datelor desemnat oficial, cu date de contact comunicate către ANSPDCP;
- un singur interlocutor pentru toate întrebările legate de date personale;
- răspunsuri scrise la cererile persoanelor vizate, în termenul legal;
- sprijin imediat în caz de incident de securitate;
- rapoarte periodice pe care le puteți prezenta conducerii, consiliului local sau la un control.

#### Cât costă serviciul DPO extern

Pentru organizațiile cu **sub 40 de angajați**, abonamentul DPO extern costă **1.500 lei pe trimestru**, adică echivalentul a 500 de lei pe lună. KRASP DPO nu este plătitoare de TVA, așa că suma este prețul final.

Peste 40 de angajați, volumul de muncă crește odată cu numărul de persoane și de activități de prelucrare, de aceea facem o cerere de ofertă personalizată. Toate variantele sunt prezentate pe pagina de [prețuri pentru serviciile GDPR](https://kraspdpo.ro/preturi/).

#### De ce KRASP DPO

KRASP DPO S.R.L. activează din aprilie 2018, adică dinainte ca GDPR să se aplice, la 25 mai 2018. Fondatorul firmei are 23 de ani de experiență profesională, dintre care 14 ani în domeniul securității înainte de înființarea firmei. Este certificat ca manager de securitate și ca evaluator de risc la securitatea fizică, înscris în registrul național al evaluatorilor de risc la securitatea fizică. Această pregătire contează direct în partea de măsuri de securitate cerută de art. 32 GDPR.

Lucrăm pentru primării, instituții publice județene și firme private. Venim la sediul dumneavoastră în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța, iar pentru restul țării lucrăm online. Pentru o discuție inițială, folosiți pagina de [contact](https://kraspdpo.ro/contact/) sau sunați la 0735 77 66 73.

#### Întrebări frecvente

**Poate fi DPO o firmă externă?**
Da. Art. 37 alin. (6) din GDPR prevede că responsabilul cu protecția datelor poate fi un angajat al organizației sau poate îndeplini sarcinile în baza unui contract de prestări servicii. Varianta externă este folosită frecvent de primării și de firmele mici.

**Cât costă un DPO extern?**
La KRASP DPO, abonamentul costă 1.500 lei pe trimestru pentru organizațiile sub 40 de angajați. Firma nu este plătitoare de TVA, deci acesta este prețul final. Peste 40 de angajați facem o ofertă în funcție de mărimea organizației; detaliile sunt pe pagina [prețuri](https://kraspdpo.ro/preturi/).

**Trebuie anunțată ANSPDCP când desemnăm un DPO?**
Da. Art. 37 alin. (7) GDPR obligă operatorul să publice datele de contact ale responsabilului cu protecția datelor și să le comunice autorității de supraveghere, adică ANSPDCP. În abonamentul nostru, această comunicare este inclusă.

**Răspunde DPO-ul pentru amenzile primite de organizație?**
Nu. Responsabilitatea pentru respectarea GDPR rămâne a operatorului, conform art. 24. DPO-ul informează, consiliază și monitorizează, dar deciziile și răspunderea aparțin conducerii organizației.

**Poate un angajat cu alte funcții să fie și DPO?**
Poate, cu condiția ca celelalte sarcini să nu creeze un conflict de interese (art. 38 alin. 6 GDPR). De exemplu, o persoană care decide scopurile prelucrării, cum ar fi un director sau șeful resurselor umane, nu își poate verifica în mod credibil propriile decizii.

### Consultant GDPR la cerere pentru instituții și firme

Sursa: https://kraspdpo.ro/servicii/consultanta-gdpr/ · actualizat 2026-11-01

Consultanța GDPR înseamnă răspunsuri concrete, date de un specialist, la întrebările pe care le ridică prelucrarea datelor personale în activitatea de zi cu zi: ce temei legal aveți, ce scrieți într-un formular, cum răspundeți unei cereri, ce clauze puneți într-un contract. Este utilă primăriilor, instituțiilor publice și firmelor care au deja o bază de documente, dar au nevoie de un consultant GDPR pentru situațiile noi.

#### Ce primiți

- Răspuns scris, cu temeiul legal indicat, la fiecare întrebare adresată
- Formulare și note de informare revizuite conform art. 13–14 GDPR
- Clauze de protecția datelor pentru contractele cu furnizorii (art. 28 GDPR)
- Modele de răspuns la cererile persoanelor vizate
- Recomandări scrise pentru situații noi: sisteme informatice, camere video, publicări pe site

#### Ce este consultanța GDPR

Consultanța GDPR este asistența de specialitate pe care o primiți atunci când trebuie să luați o decizie care implică date personale și nu sunteți sigur ce cere legea. Cadrul de referință este Regulamentul (UE) 2016/679, cunoscut ca GDPR, completat în România de Legea 190/2018. Dacă doriți o introducere în regulament, ghidul [ce este GDPR și cui se aplică](https://kraspdpo.ro/ghid-gdpr/ce-este-gdpr/) explică noțiunile de bază.

Diferența față de un ghid general este că răspunsul pornește de la situația dumneavoastră: ce date aveți, de unde le colectați, cine le vede și cât timp le păstrați. Primiți o recomandare aplicabilă, nu o listă de principii.

#### Cine are nevoie de consultanță GDPR

Consultanța în protecția datelor este potrivită pentru:

- **primării și instituții publice** care au documentația de bază, dar întâlnesc situații noi: un program informatic nou, o solicitare de la altă instituție, publicarea unor documente pe site;
- **firme și IMM-uri** care lucrează cu date ale clienților, ale angajaților sau ale furnizorilor și vor să evite greșelile de formulare sau de contract. Situațiile tipice sunt descrise pe pagina [GDPR pentru firme și IMM-uri](https://kraspdpo.ro/gdpr-pentru/firme-imm/);
- **organizații cu DPO intern** care vor o a doua opinie pe o speță dificilă;
- **conducerea** care trebuie să răspundă rapid la o plângere, o cerere sau o adresă primită de la ANSPDCP.

#### Ce întrebări rezolvăm frecvent

Majoritatea solicitărilor se încadrează în câteva teme recurente:

- **Temeiul legal.** Pe ce se bazează prelucrarea: obligație legală, contract, interes public, interes legitim sau consimțământ (art. 6 GDPR). Alegerea greșită a temeiului se propagă în toate documentele.
- **Informarea persoanelor.** Ce trebuie să conțină o notă de informare sau o secțiune dintr-un formular, conform art. 13 și 14 GDPR: cine prelucrează datele, în ce scop, cât timp le păstrează, ce drepturi are persoana.
- **Contracte cu furnizorii.** Firma de contabilitate, furnizorul de programe informatice sau firma de pază care are acces la date este persoană împuternicită și are nevoie de clauzele prevăzute la art. 28 GDPR.
- **Cereri ale persoanelor vizate.** Cum răspundeți unei cereri de acces, de ștergere sau de opoziție, ce puteți refuza și cum motivați refuzul.
- **Camere video.** Ce zone pot fi filmate, ce informare afișați, cât timp păstrați înregistrările și cine are acces. Subiectul este tratat în ghidul despre [supravegherea video și GDPR](https://kraspdpo.ro/ghid-gdpr/gdpr-supraveghere-video/).
- **Principiile de bază.** Minimizarea datelor, limitarea scopului și limitarea duratei de stocare (art. 5 GDPR) se aplică de fiecare dată când introduceți un formular sau o bază de date nouă.

#### Situații tipice în care se cere consultanță GDPR

Exemplele de mai jos sunt tipuri de întrebări pe care le primesc frecvent consultanții în protecția datelor, formulate generic:

- **Publicarea documentelor pe site.** O primărie trebuie să publice o hotărâre sau un proces-verbal care conține nume, adrese și coduri numerice personale. Obligația de transparență rămâne, dar datele care nu sunt necesare scopului publicării se anonimizează.
- **Monitorizarea angajaților.** O firmă vrea să instaleze GPS pe mașinile de serviciu sau camere în spațiile de lucru. Trebuie stabilite scopul, temeiul, informarea angajaților și durata de păstrare, iar uneori și o evaluare de impact.
- **Cerere de acces la înregistrări video.** O persoană cere imaginile în care apare. Răspunsul trebuie dat în termen, fără a expune alte persoane surprinse în aceleași imagini.
- **Solicitări de la terți.** Un avocat, o bancă sau altă instituție cere date despre un angajat sau un cetățean. Înainte de a le transmite, verificați temeiul legal al solicitării.
- **Un program informatic nou.** Furnizorul găzduiește datele pe propriile servere. Contractul trebuie să conțină clauzele de la art. 28, iar registrul prelucrărilor trebuie actualizat.

#### Consultanță punctuală sau abonament

| | Consultanță punctuală | Abonament DPO extern |
|---|---|---|
| Potrivită pentru | o întrebare sau un document anume | organizații cu întrebări recurente sau obligate să aibă DPO |
| Preț | la ofertă, în funcție de volum | 1.500 lei pe trimestru sub 40 de angajați |
| Desemnare oficială ca DPO | nu | da, cu comunicare către ANSPDCP |
| Monitorizare continuă | nu | da |

Pentru o primărie sau o instituție publică, care este oricum obligată să desemneze un DPO, abonamentul de [responsabil cu protecția datelor extern](https://kraspdpo.ro/servicii/dpo-extern/) acoperă și consultanța curentă. Pentru o firmă care are o singură problemă de lămurit, consultanța punctuală este suficientă.

#### Cum lucrăm

1. **Ne trimiteți întrebarea.** Pe e-mail, telefonic sau prin formularul de contact, împreună cu documentele relevante: formularul, contractul, cererea primită.
2. **Clarificăm contextul.** Dacă lipsesc informații, vă punem întrebările necesare înainte să formulăm un răspuns.
3. **Vă comunicăm estimarea.** Pentru solicitări punctuale primiți prețul înainte să începem.
4. **Analizăm și redactăm.** Primiți un răspuns scris, cu temeiul legal indicat și, unde e cazul, cu textul propus pentru document.
5. **Discutăm aplicarea.** Dacă este nevoie, lămurim telefonic sau online cum puneți în practică recomandarea.

#### Ce primiți

- răspunsuri scrise, cu trimitere la articolele din GDPR sau din Legea 190/2018;
- texte gata de folosit: clauze, paragrafe pentru formulare, modele de răspuns;
- o recomandare clară despre ce aveți de făcut, nu doar o prezentare a variantelor;
- confidențialitate asupra informațiilor pe care ni le transmiteți.

#### De ce să lucrați cu KRASP DPO

KRASP DPO activează din aprilie 2018 și lucrează pentru primării, agenții județene și firme private. Fondatorul firmei are 23 de ani de experiență profesională, dintre care 14 ani în securitate înainte de 2018, și este certificat ca manager de securitate. Asta înseamnă că recomandările țin cont nu doar de text, ci și de felul în care datele sunt protejate efectiv: cine are acces la arhivă, cum se transmit documentele, ce se întâmplă cu un laptop pierdut.

Pentru clienții din județul Călărași și din județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța putem organiza întâlniri la sediu; detalii pe pagina despre [consultanța GDPR în Călărași](https://kraspdpo.ro/consultanta-gdpr-calarasi/). Pentru restul țării, consultanța se desfășoară online.

#### Cât costă consultanța GDPR

Consultanța punctuală se ofertează în funcție de complexitatea întrebării și de numărul de documente de analizat. Dacă aveți nevoie de sprijin constant, abonamentul DPO extern costă 1.500 lei pe trimestru pentru organizațiile sub 40 de angajați, preț final, fără TVA, deoarece firma nu este plătitoare de TVA. Vedeți toate variantele pe pagina de [prețuri](https://kraspdpo.ro/preturi/) sau scrieți-ne direct prin pagina de [contact](https://kraspdpo.ro/contact/).

#### Întrebări frecvente

**Ce face un consultant GDPR?**
Un consultant GDPR analizează situațiile concrete în care organizația prelucrează date personale și spune, cu temei legal, ce este permis, ce documente sunt necesare și ce trebuie schimbat. Nu ia decizii în locul conducerii, dar îi oferă informațiile pe baza cărora să decidă corect.

**Pot cere consultanță GDPR pentru o singură problemă?**
Da. Consultanța poate fi punctuală, pentru o întrebare sau un document anume, cu preț stabilit prin ofertă. Dacă întrebările apar lunar, abonamentul [DPO extern](https://kraspdpo.ro/servicii/dpo-extern/) este de obicei mai avantajos.

**Care este diferența între un consultant GDPR și un DPO?**
DPO-ul este un rol prevăzut de art. 37–39 GDPR, desemnat oficial și comunicat către ANSPDCP, cu sarcini permanente de monitorizare și consiliere. Consultantul GDPR răspunde la solicitări fără să fie desemnat formal în acest rol.

**Este nevoie de consimțământ pentru orice prelucrare de date personale?**
Nu. Consimțământul este doar unul dintre cele șase temeiuri prevăzute de art. 6 GDPR. Multe prelucrări, mai ales în instituțiile publice și în relațiile de muncă, se bazează pe obligații legale, pe executarea unui contract sau pe exercitarea unei sarcini de interes public.

**Consultanța GDPR se poate face online?**
Da. Majoritatea întrebărilor se rezolvă pe e-mail, telefon sau videoconferință, pentru clienți din toată țara. În județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța putem veni și la sediul dumneavoastră.

### Implementare GDPR: documentație și proceduri adaptate activității

Sursa: https://kraspdpo.ro/servicii/implementare-gdpr/ · actualizat 2026-11-01

Implementarea GDPR este procesul prin care o organizație își pune în acord activitatea cu Regulamentul (UE) 2016/679: identifică datele personale pe care le prelucrează, întocmește documentele obligatorii și introduce procedurile prin care le aplică. Are nevoie de ea orice primărie, instituție sau firmă care nu are încă documentație GDPR sau care are un set de documente copiat, care nu mai corespunde realității.

#### Ce primiți

- Registrul evidenței activităților de prelucrare (art. 30 GDPR)
- Note de informare pentru angajați, clienți, cetățeni sau pacienți (art. 13–14 GDPR)
- Politica de protecție a datelor personale și procedurile interne
- Contracte sau acte adiționale cu persoanele împuternicite (art. 28 GDPR)
- Procedura de gestionare a incidentelor și registrul incidentelor
- Registrul riscurilor și planul de măsuri de securitate (art. 32 GDPR)
- Actul de desemnare a DPO, acolo unde este obligatoriu

#### Ce înseamnă implementarea GDPR

Implementarea GDPR este ansamblul de documente, proceduri și măsuri prin care o organizație aplică în practică Regulamentul (UE) 2016/679 și Legea 190/2018. Rezultatul nu este un dosar pus în dulap, ci un set de reguli pe care angajații le pot urma: ce date cer, ce le spun persoanelor, cui le transmit și cât timp le păstrează.

Regulamentul cere operatorului să poată **demonstra** conformitatea (art. 5 alin. 2 și art. 24). Documentația este dovada, iar procedurile sunt felul în care conformitatea se menține și după ce consultantul a plecat. Tot aici intră principiul protecției datelor începând cu momentul conceperii și în mod implicit (art. 25): la orice formular sau program nou, se colectează doar datele necesare.

#### Cine are nevoie de implementarea GDPR

- **Instituții publice și primării** fără documentație sau cu documente întocmite în 2018 și neactualizate de atunci. Particularitățile sectorului public sunt descrise pe pagina [GDPR pentru instituții publice](https://kraspdpo.ro/gdpr-pentru/institutii-publice/).
- **Firme și IMM-uri** care prelucrează date ale angajaților, ale clienților sau ale furnizorilor, adică practic orice firmă cu personal.
- **Organizații care au primit o plângere sau o adresă de la ANSPDCP** și trebuie să arate rapid ce măsuri au luat.
- **Organizații care au făcut un audit** și au primit o listă de neconformități de remediat.

Dacă nu știți de unde să porniți, un [audit GDPR](https://kraspdpo.ro/servicii/audit-gdpr/) arată mai întâi ce aveți și ce lipsește, iar implementarea acoperă apoi diferența.

#### Ce documente întocmim

Documentele necesare depind de activitate. Tabelul de mai jos arată setul uzual și temeiul fiecăruia; o listă comentată găsiți și în ghidul [documentele GDPR obligatorii](https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/).

| Document | Temei în GDPR | La ce folosește |
|---|---|---|
| Registrul evidenței activităților de prelucrare | art. 30 | inventarul prelucrărilor: scop, categorii de date, destinatari, termene |
| Note de informare | art. 13–14 | informarea angajaților, clienților, cetățenilor, pacienților |
| Politica de protecție a datelor | art. 24 | regulile interne și responsabilitățile |
| Contracte cu persoanele împuternicite | art. 28 | obligațiile furnizorilor care prelucrează date în numele dumneavoastră |
| Procedura pentru cererile persoanelor vizate | art. 15–22 | cine primește cererea, cine răspunde, în ce termen |
| Procedura și registrul incidentelor | art. 33–34 | ce faceți când datele sunt pierdute sau expuse, notificarea în 72 de ore |
| Registrul riscurilor și măsurile de securitate | art. 32 | ce poate merge rău și cum preveniți |
| Evaluarea de impact (DPIA) | art. 35 | doar pentru prelucrările cu risc ridicat |
| Actul de desemnare a DPO | art. 37 | obligatoriu pentru autoritățile publice și în cazurile de la art. 37 alin. (1) |

Registrele sunt tratate separat, pe pagina despre [registrul evidenței prelucrărilor și celelalte registre GDPR](https://kraspdpo.ro/servicii/registru-evidenta-prelucrari/).

#### De ce nu lucrăm cu un model copiat

Multe organizații au cumpărat în 2018 un set de documente generice. Problema apare la prima verificare: registrul enumeră prelucrări pe care organizația nu le face, nota de informare omite camerele video, iar contractul cu firma de contabilitate nu are clauzele de la art. 28.

Noi pornim de la activitatea reală. Discutăm cu persoanele care lucrează efectiv cu datele, fie că este vorba de registratură, resurse umane, contabilitate, asistență socială sau vânzări, și scriem documentele pe baza a ceea ce fac ele. Un document scris astfel poate fi aplicat și apărat.

#### Implementarea GDPR într-o instituție publică și într-o firmă

Pașii sunt aceiași, dar accentele diferă. Într-o primărie sau o instituție publică județeană, majoritatea prelucrărilor se bazează pe obligații legale și pe exercitarea unor atribuții de interes public, numărul de compartimente este mare, iar desemnarea unui DPO este obligatorie conform art. 37 alin. (1) lit. a) GDPR. Documentele se aprobă prin dispoziție sau decizie, iar o parte dintre ele trebuie publicate. Particular este și echilibrul dintre transparența actelor administrative și protecția datelor din ele.

Într-o firmă, prelucrările gravitează în jurul angajaților, clienților și furnizorilor. Temeiurile uzuale sunt contractul, obligațiile legale din domeniul muncii și fiscal și interesul legitim. Accentul cade pe contractele cu furnizorii, pe informarea clienților, pe marketing și pe eventualele camere video sau sisteme de monitorizare a angajaților. Documentația este de obicei mai scurtă, dar trebuie să fie la fel de exactă.

#### Cum lucrăm

1. **Discuție inițială și ofertă.** Aflăm domeniul de activitate, numărul de angajați și ce documente există, apoi vă trimitem oferta.
2. **Inventarierea prelucrărilor.** Luăm pe rând fiecare compartiment și notăm ce date colectează, de la cine, în ce scop, unde le păstrează și cui le transmite.
3. **Analiza temeiurilor și a riscurilor.** Stabilim temeiul legal pentru fiecare prelucrare (art. 6 GDPR) și identificăm riscurile principale.
4. **Redactarea documentelor.** Întocmim registrele, notele de informare, politicile, procedurile și clauzele contractuale.
5. **Revizuire cu dumneavoastră.** Parcurgem documentele împreună și le ajustăm unde activitatea reală o cere.
6. **Aprobare și punere în aplicare.** Documentele se aprobă prin decizie sau dispoziție internă, iar noi vă arătăm ce trebuie afișat, publicat sau semnat.
7. **Instruirea personalului.** Recomandăm încheierea implementării cu o [instruire GDPR a angajaților](https://kraspdpo.ro/servicii/instruire-gdpr-angajati/), pentru ca procedurile să fie cunoscute de cei care le aplică.

#### Ce primiți

- documentația GDPR completă, în format editabil și în format pentru arhivă;
- documente care descriu activitatea dumneavoastră reală, nu una generică;
- lista acțiunilor practice rămase: afișe, clauze de semnat, setări de acces de modificat;
- explicații pentru persoanele care vor aplica procedurile;
- o bază pe care un DPO, intern sau extern, o poate monitoriza.

#### După implementare

Documentația trebuie ținută la zi. Pentru organizațiile obligate să desemneze un responsabil cu protecția datelor sau care vor sprijin continuu, abonamentul [DPO extern](https://kraspdpo.ro/servicii/dpo-extern/) preia monitorizarea și actualizarea curentă.

#### Cât costă implementarea GDPR

Implementarea GDPR se ofertează după discuția inițială, în funcție de numărul de angajați, de numărul de compartimente și de complexitatea prelucrărilor. O primărie cu mai multe servicii are alt volum de lucru decât o firmă cu cinci angajați. Informații generale despre tarife găsiți pe pagina de [prețuri](https://kraspdpo.ro/preturi/). KRASP DPO nu este plătitoare de TVA, așa că prețul din ofertă este prețul final.

Lucrăm la sediul dumneavoastră în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța, iar pentru restul țării implementarea se desfășoară online, prin videoconferință și schimb de documente.

#### Întrebări frecvente

**Cât durează implementarea GDPR într-o firmă?**
Durata depinde de numărul de activități de prelucrare, de numărul de departamente și de cât de repede primim informațiile de la dumneavoastră. Stabilim calendarul concret în ofertă, după discuția inițială.

**Pot folosi un model de documentație GDPR descărcat de pe internet?**
Un model vă arată structura, dar nu știe ce date prelucrați, pe ce temei și cu ce furnizori lucrați. La un control sau la o plângere, documentele care nu descriu activitatea reală nu vă ajută să demonstrați conformitatea cerută de art. 5 alin. (2) și art. 24 GDPR.

**Implementarea GDPR se face o singură dată?**
Documentația de bază se întocmește o dată, dar trebuie actualizată ori de câte ori se schimbă activitatea: furnizori noi, programe informatice noi, camere video, formulare noi. Art. 24 GDPR cere ca măsurile să fie revizuite și actualizate atunci când este necesar.

**Trebuie să oprim activitatea în timpul implementării GDPR?**
Nu. Culegem informațiile prin discuții scurte cu persoanele din fiecare compartiment și prin analiza documentelor existente, fără să întrerupem lucrul cu publicul sau cu clienții.

**Ce trebuie să facem după implementarea GDPR?**
Personalul trebuie instruit, procedurile trebuie aplicate, iar documentele țin pasul cu schimbările din activitate. Pentru această etapă recomandăm instruirea angajaților și, după caz, un abonament DPO extern sau o evaluare periodică a conformității.

### Audit GDPR: ce date prelucrați, ce lipsește și ce riscați

Sursa: https://kraspdpo.ro/servicii/audit-gdpr/ · actualizat 2026-11-01

Auditul GDPR este o verificare inițială, de tip diagnostic, a modului în care o organizație prelucrează datele personale, comparat cu cerințele Regulamentului (UE) 2016/679 și ale Legii 190/2018. Este necesar atunci când nu știți exact ce s-a făcut până acum în materie de protecția datelor, când documentația este veche sau înaintea unei implementări ori a desemnării unui DPO. Rezultatul este un raport scris cu neconformitățile găsite și ordinea în care trebuie remediate.

#### Ce primiți

- Raport de audit GDPR scris, pe domenii verificate
- Lista neconformităților, fiecare cu articolul din GDPR sau din Legea 190/2018 încălcat
- Clasificarea neconformităților după nivelul de risc
- Plan de remediere cu priorități și responsabili propuși
- Inventarul documentelor existente și al celor care lipsesc
- Prezentarea concluziilor către conducere

#### Ce este un audit GDPR

Un audit GDPR este o verificare structurată a modului în care organizația colectează, folosește, păstrează și protejează datele personale, raportată la cerințele Regulamentului (UE) 2016/679 și ale Legii 190/2018. Auditul răspunde la trei întrebări: ce date prelucrați, ce documente și măsuri aveți, și unde sunt diferențele față de ce cere legea.

Auditul este o fotografie a situației de la un moment dat. Nu schimbă nimic prin el însuși, dar vă arată exact ce trebuie schimbat și în ce ordine.

#### Când aveți nevoie de un audit GDPR

Situațiile în care recomandăm un audit de protecția datelor sunt, de regulă, acestea:

- **nu știți ce s-a făcut până acum.** Documentația a fost întocmită de o persoană care nu mai lucrează în organizație sau de o firmă cu care nu mai colaborați;
- **documentele sunt din 2018** și nu au mai fost actualizate, deși între timp au apărut programe informatice, furnizori sau camere video noi;
- **s-a schimbat conducerea**, de exemplu un primar nou sau un administrator nou, care vrea să știe ce preia;
- **urmează desemnarea unui DPO** și trebuie stabilit punctul de plecare;
- **a avut loc un incident** sau o plângere și trebuie verificat dacă problema este izolată;
- **ați primit o adresă de la ANSPDCP** și trebuie să răspundeți documentat.

Pentru primării, auditul este deseori primul pas, pentru că o autoritate publică este obligată să aibă DPO și documentație la zi. Riscurile concrete pentru instituții și firme, inclusiv regimul amenzilor, sunt explicate în ghidul despre [amenzile GDPR aplicate de ANSPDCP](https://kraspdpo.ro/ghid-gdpr/amenzi-gdpr-anspdcp/).

#### Ce verificăm

Auditul acoperă domeniile în care apar cel mai des neconformități:

- **Inventarul prelucrărilor.** Ce date se colectează în fiecare compartiment și dacă registrul prevăzut de art. 30 GDPR există și corespunde realității.
- **Temeiurile legale.** Dacă fiecare prelucrare are un temei valid conform art. 6 și, pentru datele sensibile, conform art. 9.
- **Principiile de prelucrare.** Minimizarea datelor, limitarea scopului, durata de păstrare (art. 5).
- **Informarea persoanelor.** Dacă notele de informare cerute de art. 13–14 există, sunt complete și sunt aduse efectiv la cunoștința persoanelor.
- **Drepturile persoanelor vizate.** Dacă există o procedură pentru cererile de acces, rectificare, ștergere sau opoziție (art. 15–22) și dacă termenele sunt respectate.
- **Relația cu furnizorii.** Dacă persoanele împuternicite au contracte cu clauzele de la art. 28.
- **Securitatea datelor.** Controlul accesului, parole, copii de siguranță, arhivă fizică, camere video, eliminarea documentelor (art. 32).
- **Incidentele.** Dacă există o procedură de notificare în 72 de ore și un registru al incidentelor (art. 33–34).
- **DPO și evaluarea de impact.** Dacă DPO-ul este desemnat acolo unde e obligatoriu (art. 37) și dacă s-a făcut DPIA pentru prelucrările cu risc ridicat (art. 35).

#### Ce conține raportul de audit GDPR

Raportul este documentul principal al auditului. Îl primiți în scris, iar structura lui este aceasta:

| Secțiune | Conținut |
|---|---|
| Rezumat pentru conducere | concluziile principale și cele mai urgente trei-patru acțiuni |
| Domeniul auditului | compartimentele, sediile și documentele verificate |
| Inventarul documentelor | ce există, ce lipsește, ce este depășit |
| Constatări | fiecare neconformitate, cu dovada găsită și articolul din lege |
| Nivel de risc | ridicat, mediu sau scăzut, după impactul asupra persoanelor și expunerea la sancțiuni |
| Recomandări | ce trebuie făcut concret pentru fiecare constatare |
| Plan de remediere | ordinea acțiunilor, responsabili propuși, termene sugerate |

Pentru constatările legate de securitate, raportul se poate completa cu o [analiză de risc GDPR](https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/) detaliată și cu registrul riscurilor.

#### Audit GDPR sau evaluare periodică

Cele două servicii se confundă ușor. Auditul este diagnosticul inițial: se face atunci când nu știți unde vă aflați. [Evaluarea conformității GDPR](https://kraspdpo.ro/servicii/evaluare-conformitate-gdpr/) se face după implementare, periodic, și verifică dacă măsurile deja puse în practică funcționează. Dacă nu ați făcut niciodată o verificare, începeți cu auditul.

#### Cum lucrăm

1. **Discuție inițială.** Aflăm mărimea organizației, numărul de compartimente și sedii și ce documentație GDPR există.
2. **Ofertă și calendar.** Stabilim domeniul auditului, prețul și datele vizitelor sau ale întâlnirilor online.
3. **Solicitarea documentelor.** Vă trimitem lista documentelor de pus la dispoziție: registre, note de informare, contracte, decizii interne.
4. **Interviuri și verificare la fața locului.** Discutăm cu persoanele care lucrează cu datele și verificăm arhiva, accesul la calculatoare, camerele video.
5. **Analiză și redactarea raportului.** Comparăm constatările cu cerințele legale și clasificăm neconformitățile.
6. **Prezentarea rezultatelor.** Discutăm raportul cu conducerea și răspundem la întrebări despre planul de remediere.

#### Ce primiți

- raportul de audit GDPR în scris;
- lista neconformităților, cu temeiul legal pentru fiecare;
- un plan de remediere cu priorități clare;
- o imagine clară asupra expunerii la sancțiuni;
- recomandarea pasului următor: remediere internă, [implementare GDPR](https://kraspdpo.ro/servicii/implementare-gdpr/) sau desemnarea unui DPO.

#### De ce KRASP DPO pentru audit

Fondatorul firmei are 23 de ani de experiență profesională, dintre care 14 ani în domeniul securității înainte de înființarea KRASP DPO, în aprilie 2018. Este certificat ca manager de securitate și ca evaluator de risc la securitatea fizică. În audit, asta se vede în partea de securitate: nu ne oprim la ce scrie în procedură, ci verificăm cine are cheia de la arhivă, ce vede camera de pe hol și unde ajung documentele scoase la imprimantă.

Am lucrat cu primării, agenții județene și firme private. Pentru specificul instituțiilor de învățământ, vedeți și pagina [GDPR pentru școli și grădinițe](https://kraspdpo.ro/gdpr-pentru/scoli-gradinite/).

#### Cât costă un audit GDPR

Auditul GDPR se ofertează în funcție de numărul de angajați, de compartimente și de sedii. KRASP DPO nu este plătitoare de TVA, deci prețul din ofertă este cel final. Modul în care stabilim tarifele este explicat pe pagina de [prețuri](https://kraspdpo.ro/preturi/). Pentru o estimare, sunați la 0735 77 66 73 sau scrieți-ne prin pagina de [contact](https://kraspdpo.ro/contact/).

#### Întrebări frecvente

**Auditul GDPR este obligatoriu prin lege?**
GDPR nu folosește termenul „audit obligatoriu”, dar cere operatorului să poată demonstra conformitatea (art. 5 alin. 2 și art. 24) și să evalueze periodic eficacitatea măsurilor de securitate (art. 32 alin. 1 lit. d). Auditul este modul practic prin care aflați dacă puteți face această demonstrație.

**Ce se întâmplă după auditul GDPR?**
Primiți raportul și planul de remediere. Neconformitățile le puteți rezolva intern sau cu ajutorul nostru, prin serviciul de [implementare GDPR](https://kraspdpo.ro/servicii/implementare-gdpr/). După remediere, o evaluare periodică verifică dacă măsurile funcționează.

**Auditorul GDPR are acces la datele personale ale organizației?**
Auditul verifică procese, documente și setări de acces, nu presupune copierea bazelor de date. Informațiile văzute în timpul auditului sunt tratate confidențial, iar obligația de confidențialitate se stabilește prin contract.

**Cât costă un audit GDPR?**
Prețul se stabilește prin ofertă, în funcție de numărul de angajați, de compartimente și de sedii. Informațiile generale despre tarife sunt pe pagina de [prețuri](https://kraspdpo.ro/preturi/).

**Se poate face auditul GDPR online?**
Parțial. Analiza documentelor și interviurile se pot face online, pentru clienți din toată țara. Verificarea la fața locului, pentru arhive, camere video sau accesul fizic la documente, o facem la sediu în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța.

### Evaluare conformitate GDPR: verificăm periodic dacă măsurile funcționează

Sursa: https://kraspdpo.ro/servicii/evaluare-conformitate-gdpr/ · actualizat 2026-11-01

Evaluarea conformității GDPR este verificarea periodică, de obicei anuală, a faptului că documentele și măsurile de protecție a datelor deja implementate sunt aplicate și funcționează. Spre deosebire de audit, care este un diagnostic inițial, evaluarea pornește de la o implementare existentă și urmărește dacă a rămas valabilă. Este potrivită pentru primării, instituții și firme care au documentația GDPR făcută și vor să o păstreze la zi.

#### Ce primiți

- Raport de evaluare a conformității, comparat cu situația de la evaluarea anterioară
- Verificarea registrului evidenței prelucrărilor față de activitatea curentă
- Lista documentelor care trebuie actualizate și propunerile de modificare
- Verificarea modului în care au fost tratate cererile și incidentele din perioadă
- Recomandări de instruire pentru personalul nou sau pentru compartimentele cu probleme
- Plan de acțiuni pentru perioada următoare

#### Ce este evaluarea conformității GDPR

Evaluarea conformității GDPR este verificarea, făcută la intervale regulate, a faptului că măsurile de protecție a datelor pe care organizația le-a adoptat sunt aplicate în practică și au rămas potrivite activității. Pornește de la documentația existentă: registre, note de informare, proceduri, contracte, și o compară cu ceea ce se întâmplă efectiv în birouri.

Evaluarea are un fundament direct în Regulamentul (UE) 2016/679. Art. 24 cere ca măsurile tehnice și organizatorice să fie revizuite și actualizate atunci când este necesar. Art. 32 alin. (1) lit. d) cere, pentru securitatea datelor, un proces de testare, evaluare și apreciere periodică a eficacității măsurilor. Cu alte cuvinte, o implementare GDPR făcută o dată și lăsată apoi nemodificată nu mai îndeplinește cerințele după câțiva ani.

#### Evaluare conformitate sau audit GDPR

Cele două servicii răspund la întrebări diferite. Tabelul de mai jos arată diferența.

| | Audit GDPR | Evaluare conformitate GDPR |
|---|---|---|
| Momentul | înainte de implementare sau când situația este neclară | după implementare, periodic |
| Întrebarea | unde ne aflăm față de GDPR? | funcționează ce am implementat? |
| Punctul de plecare | activitatea organizației, fără presupuneri | documentația și măsurile existente |
| Frecvența | de regulă o singură dată | recomandat anual și după schimbări majore |
| Rezultatul | lista neconformităților și planul de remediere | lista abaterilor, documentele de actualizat, planul pe perioada următoare |

Dacă organizația nu a trecut niciodată printr-o verificare, începeți cu un [audit GDPR](https://kraspdpo.ro/servicii/audit-gdpr/). Dacă documentația există și vreți să știți dacă mai este valabilă, evaluarea este pasul potrivit.

#### Cine are nevoie de o evaluare a conformității

- **Organizații care au trecut printr-o implementare GDPR** și vor să o mențină la zi, indiferent dacă aceasta a fost făcută de noi prin serviciul de [implementare GDPR](https://kraspdpo.ro/servicii/implementare-gdpr/) sau de altă firmă.
- **Primării și instituții publice cu DPO intern** care vor o verificare independentă, făcută din afara organizației.
- **Firme care au crescut**: angajați noi, un sediu nou, un magazin online, un program de gestiune nou. Situațiile uzuale sunt descrise pe pagina [GDPR pentru firme și IMM-uri](https://kraspdpo.ro/gdpr-pentru/firme-imm/).
- **Organizații care au avut un incident** și vor să verifice dacă procedura a funcționat.

#### Ce verificăm la o evaluare

Evaluarea se concentrează pe lucrurile care se schimbă cel mai des după implementare:

- **Registrul evidenței prelucrărilor.** Dacă reflectă activitatea actuală sau descrie încă situația de acum câțiva ani. Detalii despre acest document găsiți pe pagina despre [registrul evidenței activităților de prelucrare](https://kraspdpo.ro/servicii/registru-evidenta-prelucrari/).
- **Furnizorii noi.** Dacă fiecare furnizor care are acces la date are contract cu clauzele de la art. 28 GDPR.
- **Notele de informare.** Dacă au fost actualizate după schimbările de activitate și dacă sunt afișate sau transmise acolo unde trebuie.
- **Cererile persoanelor vizate.** Dacă au fost înregistrate, dacă au primit răspuns în termen și dacă răspunsurile au fost corecte.
- **Incidentele.** Dacă au fost documentate, analizate și, unde era cazul, notificate către ANSPDCP în 72 de ore.
- **Drepturile de acces.** Dacă foștii angajați mai au conturi active și dacă fiecare persoană vede doar datele de care are nevoie.
- **Instruirea.** Dacă angajații noi au fost instruiți și dacă există evidența instruirii.
- **Securitatea practică.** Copii de siguranță testate, arhiva încuiată, documentele eliminate corespunzător, camerele video conforme cu informarea afișată.

#### Cum lucrăm

1. **Stabilim calendarul.** Convenim perioada evaluării, de regulă anual, la aceeași dată, pentru ca rapoartele să fie comparabile.
2. **Primim documentele actualizate.** Ne transmiteți versiunile curente ale registrelor, procedurilor și contractelor, plus evidența cererilor și a incidentelor din perioadă.
3. **Aflăm ce s-a schimbat.** Discutăm cu conducerea și cu compartimentele despre activitățile, furnizorii și programele informatice apărute între timp.
4. **Verificăm aplicarea.** Prin interviuri scurte și, unde este cazul, verificare la fața locului, comparăm procedurile cu practica.
5. **Redactăm raportul.** Consemnăm abaterile, documentele de actualizat și progresul față de evaluarea anterioară.
6. **Discutăm planul pe perioada următoare.** Stabilim împreună ce se rezolvă intern și ce preluăm noi.

#### Ce primiți

- raportul de evaluare a conformității, în scris;
- comparația cu evaluarea anterioară, astfel încât conducerea vede progresul;
- lista documentelor de actualizat și propunerile de text;
- recomandări de instruire pentru personalul nou sau pentru compartimentele cu probleme;
- o dovadă documentată că organizația își revizuiește periodic măsurile, utilă la un control ANSPDCP.

#### Reevaluarea GDPR anuală în practică

Recomandăm o reevaluare anuală, completată de o evaluare suplimentară ori de câte ori se produce o schimbare importantă. Semnele că este momentul unei reevaluări sunt, de regulă, acestea:

- organizația s-a reorganizat, s-au înființat compartimente noi sau s-a mutat într-un alt sediu;
- a fost introdus un program informatic nou, o platformă online sau un serviciu de stocare în cloud;
- sistemul de supraveghere video a fost extins sau mutat;
- s-au schimbat furnizorii care au acces la date, de exemplu firma de contabilitate sau de mentenanță IT;
- a avut loc un incident de securitate sau a fost primită o plângere;
- s-a schimbat conducerea, iar noua conducere vrea să știe ce preia;
- au trecut mai mult de 12 luni de la ultima verificare documentată.

O reevaluare făcută la timp costă mai puțin decât refacerea întregii documentații după câțiva ani de neglijare, pentru că modificările sunt mici și ușor de urmărit. Pentru organizațiile care au abonament [DPO extern](https://kraspdpo.ro/servicii/dpo-extern/), riscurile se reevaluează periodic în cadrul abonamentului, iar un raport formal de evaluare se poate adăuga în ofertă.

KRASP DPO activează din aprilie 2018, iar fondatorul firmei are 23 de ani de experiență profesională, dintre care 14 ani în domeniul securității. Lucrăm la sediul clientului în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța și online pentru clienții din restul țării.

#### Cât costă evaluarea conformității GDPR

Evaluarea se ofertează în funcție de mărimea organizației și de cât de extinsă este documentația de verificat. KRASP DPO nu este plătitoare de TVA, deci prețul din ofertă este cel final. Vedeți informațiile generale despre tarife pe pagina de [prețuri](https://kraspdpo.ro/preturi/).

#### Întrebări frecvente

**Care este diferența dintre auditul GDPR și evaluarea conformității?**
Auditul este diagnosticul inițial, făcut când nu știți în ce stadiu se află organizația. Evaluarea conformității se face după implementare, periodic, și verifică dacă documentele și măsurile existente sunt aplicate și au rămas actuale.

**Cât de des se face reevaluarea GDPR?**
GDPR nu stabilește o frecvență fixă, dar art. 24 cere revizuirea măsurilor atunci când este necesar, iar art. 32 alin. (1) lit. d) cere un proces de evaluare periodică a eficacității măsurilor de securitate. În practică recomandăm o reevaluare anuală și una suplimentară după schimbări importante în activitate.

**Ce se întâmplă dacă evaluarea găsește neconformități?**
Fiecare neconformitate apare în raport cu recomandarea de remediere și prioritatea ei. Documentele de actualizat le putem corecta noi, iar măsurile practice, cum ar fi schimbarea drepturilor de acces, le aplicați dumneavoastră pe baza indicațiilor primite.

**Puteți evalua o documentație GDPR întocmită de altă firmă?**
Da. Pornim de la documentele existente, indiferent cine le-a întocmit. Dacă ele nu descriu activitatea reală, vă spunem acest lucru și vă recomandăm fie actualizarea lor, fie un audit complet.

**Evaluarea conformității este inclusă în abonamentul DPO extern?**
Abonamentul DPO extern include evaluarea periodică a riscurilor, iar monitorizarea conformității face parte din sarcinile DPO prevăzute de art. 39 GDPR. Dacă doriți în plus un raport formal de evaluare, pentru conducere sau pentru consiliul local, îl stabilim în ofertă.

### Instruire GDPR pentru angajați, la sediul dumneavoastră sau online

Sursa: https://kraspdpo.ro/servicii/instruire-gdpr-angajati/ · actualizat 2026-11-01

Instruirea GDPR a angajaților este sesiunea prin care personalul care lucrează cu date personale află ce are voie să facă, ce nu și cum reacționează la o cerere sau la un incident. Este necesară în orice primărie, instituție sau firmă în care angajații au acces la date ale cetățenilor, clienților, pacienților sau colegilor. KRASP DPO ține instruirea la sediul clientului în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța sau online, cu proces-verbal și evidența instruirii la dosar.

#### Ce primiți

- Sesiune de instruire adaptată activității organizației, la sediu sau online
- Suport de curs pentru participanți
- Proces-verbal de instruire și listă de prezență semnată
- Exemple și situații practice din activitatea compartimentelor instruite
- Răspunsuri la întrebările participanților în timpul sesiunii
- Recomandări pentru instruirea personalului nou angajat

#### Ce este instruirea GDPR a angajaților

Instruirea GDPR a angajaților este o sesiune practică în care personalul învață cum să lucreze cu datele personale conform Regulamentului (UE) 2016/679 și procedurilor interne ale organizației. Scopul nu este memorarea articolelor, ci formarea unor reflexe: ce date cer de la o persoană, cui le pot transmite, ce fac cu un e-mail trimis greșit.

Majoritatea problemelor de protecția datelor nu vin din rea-voință, ci din gesturi obișnuite: o listă lăsată pe birou, un dosar trimis pe o adresă de e-mail personală, o parolă scrisă pe monitor, informații date la telefon unei persoane neidentificate. Aceste situații se previn cel mai eficient prin instruire.

#### De ce este necesară instruirea personalului

GDPR leagă explicit protecția datelor de comportamentul oamenilor care le prelucrează:

- art. 32 alin. (4) cere ca orice persoană care acționează sub autoritatea operatorului și are acces la date să le prelucreze numai la instrucțiunea acestuia;
- art. 39 alin. (1) lit. b) include instruirea și conștientizarea personalului printre sarcinile responsabilului cu protecția datelor;
- art. 5 alin. (2) și art. 24 cer operatorului să poată demonstra conformitatea, iar evidența instruirii este una dintre dovezile cele mai simple de prezentat.

Instruirea este și prima linie de apărare în cazul unui incident. Un angajat care recunoaște un incident și îl raportează imediat face posibilă notificarea către ANSPDCP în termenul de 72 de ore. Pașii sunt descriși în ghidul despre [ce faceți la un incident de securitate a datelor](https://kraspdpo.ro/ghid-gdpr/incident-securitate-date-72-ore/).

#### Cine trebuie instruit și pe ce accent

Adaptăm conținutul după compartimentele participante. Tabelul arată exemple de accente pe categorii de personal.

| Categorie de personal | Accentul instruirii |
|---|---|
| Registratură și relații cu publicul | identificarea solicitanților, informarea persoanelor, cereri primite la ghișeu |
| Resurse umane | dosarele de personal, durata de păstrare, datele privind sănătatea angajaților |
| Contabilitate, taxe și impozite | transmiterea datelor către terți, persoane împuternicite, arhivare |
| Asistență socială, personal medical | categorii speciale de date, acces strict limitat, confidențialitate |
| Cadre didactice și secretariat școlar | datele elevilor și ale părinților, fotografii, grupuri de mesagerie |
| IT și administratori de sistem | parole, drepturi de acces, copii de siguranță, conturile foștilor angajați |
| Conducere | răspunderea operatorului, decizii privind noile prelucrări, relația cu ANSPDCP |

Pentru unitățile de învățământ și pentru cabinetele medicale există particularități suplimentare, descrise pe paginile [GDPR pentru școli și grădinițe](https://kraspdpo.ro/gdpr-pentru/scoli-gradinite/) și [GDPR pentru cabinete medicale](https://kraspdpo.ro/gdpr-pentru/cabinete-medicale/).

#### Ce conține cursul GDPR pentru angajați

Tematica de bază acoperă:

- noțiunile esențiale: date personale, prelucrare, operator, persoană împuternicită, persoană vizată;
- principiile de la art. 5 GDPR, explicate pe exemple din activitatea participanților;
- temeiurile legale și de ce consimțământul nu este necesar în majoritatea situațiilor de serviciu;
- drepturile persoanelor vizate și ce face angajatul care primește o cerere;
- reguli practice de securitate: birou curat, parole, e-mail, stick-uri, imprimante, arhivă;
- camerele video, cu trimitere la regulile din ghidul despre [supravegherea video conform GDPR](https://kraspdpo.ro/ghid-gdpr/gdpr-supraveghere-video/);
- ce este un incident de securitate și cui se raportează imediat;
- procedurile interne ale organizației, dacă acestea există.

Exemplele le alegem din activitatea reală a participanților, nu din alte domenii. O sesiune pentru o primărie arată diferit de una pentru o firmă de distribuție.

#### Greșeli frecvente pe care le discutăm la instruire

O parte a sesiunii este dedicată situațiilor care apar des în activitatea curentă și care pot deveni incidente de securitate:

- trimiterea unui e-mail cu date personale către mai mulți destinatari vizibili, în loc de câmpul pentru destinatari ascunși;
- transmiterea documentelor de serviciu pe adrese de e-mail personale sau prin aplicații de mesagerie private;
- oferirea de informații la telefon fără verificarea identității celui care sună;
- fotografierea sau copierea documentelor cu telefonul personal;
- lăsarea calculatorului deblocat la plecarea din birou;
- aruncarea documentelor cu date personale la coșul de hârtie, fără distrugere;
- păstrarea conturilor și a parolelor comune pentru mai mulți angajați;
- ignorarea unei pierderi de date „minore”, care nu este raportată nimănui.

Pentru fiecare situație explicăm ce prevede regula, de ce contează și ce face corect angajatul.

#### Cum lucrăm

1. **Stabilim grupul țintă.** Aflăm câți participanți sunt, din ce compartimente și dacă organizația are deja proceduri GDPR.
2. **Primim documentele interne.** Dacă există registru de prelucrări și proceduri, le folosim pentru a lega instruirea de regulile dumneavoastră.
3. **Adaptăm tematica.** Pregătim exemplele și accentele potrivite pentru compartimentele participante.
4. **Ținem sesiunea.** La sediul dumneavoastră, în județul Călărași sau în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța, ori online pentru restul țării. Lăsăm timp pentru întrebări.
5. **Întocmim evidența.** Procesul-verbal de instruire și lista de prezență se semnează la final și rămân la dosarul organizației.
6. **Recomandăm pașii următori.** Semnalăm conducerii problemele practice ieșite la iveală în discuții.

#### Ce primiți

- o instruire construită pe activitatea dumneavoastră, nu o prezentare generală;
- suport de curs pe care angajații îl pot consulta ulterior;
- proces-verbal de instruire și listă de prezență semnată, păstrate la dosar;
- o listă de probleme practice observate, utilă conducerii;
- recomandări pentru instruirea angajaților noi.

#### Experiența din spatele instruirii

KRASP DPO activează din aprilie 2018 și a lucrat cu primării, agenții județene și firme private. Fondatorul firmei are 23 de ani de experiență profesională, dintre care 14 ani în domeniul securității înainte de înființarea firmei, și este certificat ca manager de securitate. Această pregătire se vede în partea practică a cursului: cum arată un acces neautorizat, cum se protejează un birou, o arhivă sau un laptop.

Pentru organizațiile care au abonament [DPO extern](https://kraspdpo.ro/servicii/dpo-extern/), instructajul periodic al personalului este inclus în abonament.

#### Cât costă instruirea GDPR

Instruirea se ofertează în funcție de numărul de participanți, de numărul de sesiuni și de locul desfășurării. KRASP DPO nu este plătitoare de TVA, deci prețul din ofertă este final. Informații generale despre tarife găsiți pe pagina de [prețuri](https://kraspdpo.ro/preturi/), iar o ofertă concretă o puteți cere prin pagina de [contact](https://kraspdpo.ro/contact/).

#### Întrebări frecvente

**Este obligatorie instruirea GDPR a angajaților?**
GDPR prevede că persoanele care acționează sub autoritatea operatorului prelucrează datele doar conform instrucțiunilor acestuia (art. 32 alin. 4) și include instruirea personalului printre sarcinile DPO (art. 39 alin. 1 lit. b). Fără instruire documentată, organizația demonstrează greu că angajații cunosc aceste instrucțiuni.

**Cât de des trebuie refăcută instruirea GDPR?**
Legea nu fixează o frecvență. Recomandăm instruirea la angajare, o reîmprospătare periodică și o sesiune suplimentară după schimbări importante, cum ar fi proceduri noi, un program informatic nou sau un incident de securitate.

**Primim o dovadă că angajații au fost instruiți?**
Da. La finalul sesiunii se întocmesc procesul-verbal de instruire și lista de prezență semnată de participanți. Aceste documente se păstrează la dosar și pot fi prezentate la un control ANSPDCP.

**Se poate face instruirea GDPR online?**
Da. Pentru organizațiile din afara județelor Călărași, Giurgiu, Ilfov, Ialomița, Brăila și Constanța, instruirea se ține prin videoconferință, iar evidența participării se întocmește la fel ca la o sesiune față în față.

**Cine trebuie să participe la instruirea GDPR?**
Toți angajații care au acces la date personale: registratură, resurse umane, contabilitate, asistență socială, personal medical, vânzări, IT. Conducerea ar trebui să participe și ea, pentru că răspunderea pentru conformitate îi aparține.

### Analiză de risc GDPR și evaluare de impact (DPIA)

Sursa: https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/ · actualizat 2026-11-01

Analiza de risc GDPR identifică ce se poate întâmpla rău cu datele personale pe care le prelucrați, cât de grave ar fi consecințele pentru persoane și ce măsuri de securitate reduc aceste riscuri, conform art. 32 din GDPR. Pentru prelucrările cu risc ridicat, art. 35 cere în plus o evaluare de impact (DPIA). Serviciul este necesar oricărei organizații care trebuie să justifice măsurile de securitate alese, și în special celor care folosesc supraveghere video, prelucrează date medicale sau date ale unor persoane vulnerabile.

#### Ce primiți

- Registrul riscurilor pentru activitățile de prelucrare
- Raport de analiză de risc, cu evaluarea probabilității și a impactului
- Plan de măsuri tehnice și organizatorice conform art. 32 GDPR
- Evaluare de impact asupra protecției datelor (DPIA), acolo unde este obligatorie
- Recomandări de securitate fizică și organizatorică pentru arhive, birouri și echipamente
- Stabilirea situațiilor în care este necesară consultarea prealabilă a ANSPDCP

#### Ce este analiza de risc GDPR

Analiza de risc GDPR este procesul prin care stabiliți, pentru fiecare activitate de prelucrare, ce se poate întâmpla cu datele personale, cât de probabil este acel eveniment și cât de grave ar fi consecințele pentru persoanele vizate. Pe baza acestei analize alegeți măsurile de securitate potrivite.

Regulamentul (UE) 2016/679 este construit pe ideea de risc. Art. 24 cere măsuri care țin seama de riscurile pentru drepturile persoanelor, art. 25 cere protecția datelor încă de la proiectarea unei prelucrări, iar art. 32 cere un nivel de securitate „corespunzător acestui risc”. Fără o analiză de risc documentată, organizația nu poate explica de ce a ales anumite măsuri și nu altele.

Riscul se evaluează din perspectiva persoanei ale cărei date sunt prelucrate, nu doar a organizației. Un dosar de asistență socială pierdut este o problemă administrativă pentru primărie, dar poate fi o expunere gravă pentru familia respectivă.

#### Analiză de risc sau evaluare de impact (DPIA)

| | Analiză de risc (art. 24 și art. 32) | Evaluare de impact – DPIA (art. 35) |
|---|---|---|
| Când se face | pentru toate prelucrările | doar pentru prelucrările susceptibile să genereze un risc ridicat |
| Momentul | la implementare și la fiecare schimbare | înainte de a începe prelucrarea |
| Conținut | riscuri, probabilitate, impact, măsuri | descrierea prelucrării, necesitate și proporționalitate, riscuri, măsuri |
| Rezultatul | registrul riscurilor și planul de măsuri | documentul DPIA și, dacă riscul rămâne ridicat, consultarea ANSPDCP (art. 36) |

#### Când este obligatorie evaluarea de impact

Art. 35 alin. (3) GDPR indică trei situații în care DPIA este cerută în mod special:

- evaluarea sistematică și extinsă a unor aspecte personale, bazată pe prelucrare automată, inclusiv crearea de profiluri, cu efecte juridice sau similare asupra persoanelor;
- prelucrarea pe scară largă a categoriilor speciale de date, cum sunt datele privind sănătatea, sau a datelor privind condamnări penale;
- monitorizarea sistematică pe scară largă a unei zone accesibile publicului.

În plus, ANSPDCP a publicat o listă a tipurilor de operațiuni pentru care evaluarea de impact este obligatorie. Pentru cabinetele medicale, sistemele extinse de supraveghere video sau bazele de date cu persoane vulnerabile, verificarea necesității unei DPIA este un pas obligatoriu. Vedeți și paginile despre [GDPR pentru cabinete medicale](https://kraspdpo.ro/gdpr-pentru/cabinete-medicale/) și despre [supravegherea video și protecția datelor](https://kraspdpo.ro/ghid-gdpr/gdpr-supraveghere-video/).

#### Ce măsuri de securitate cere art. 32

Art. 32 alin. (1) GDPR enumeră, cu titlu de exemplu, măsurile pe care operatorul le ia în funcție de risc:

- pseudonimizarea și criptarea datelor personale;
- capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și rezistența sistemelor de prelucrare;
- capacitatea de a restabili la timp disponibilitatea datelor și accesul la ele în cazul unui incident fizic sau tehnic;
- un proces de testare, evaluare și apreciere periodică a eficacității măsurilor.

Măsurile nu sunt doar informatice. Un dulap cu dosare de personal lăsat descuiat, un calculator de la ghișeu vizibil din sala de așteptare sau lipsa unei proceduri la plecarea unui angajat sunt riscuri la fel de reale ca un virus informatic.

#### Securitatea fizică și organizatorică: unde contează experiența noastră

Fondatorul KRASP DPO are 23 de ani de experiență profesională, dintre care 14 ani în domeniul securității înainte de înființarea firmei, în aprilie 2018. Este certificat ca manager de securitate și ca evaluator de risc la securitatea fizică, fiind înscris în registrul național al evaluatorilor de risc la securitatea fizică. Mai multe despre firmă găsiți pe pagina [despre noi](https://kraspdpo.ro/despre-noi/).

Această pregătire face diferența în analiza de risc GDPR, pentru că multe incidente pornesc de la probleme fizice și organizatorice, nu tehnice:

- accesul în arhivă și în încăperile cu servere sau echipamente de rețea;
- gestiunea cheilor, a cartelelor și a vizitatorilor;
- amplasarea camerelor video și cine vede imaginile;
- circuitul documentelor pe hârtie, de la registratură până la arhivare și distrugere;
- drepturile de acces ale angajaților și retragerea lor la încetarea contractului;
- separarea atribuțiilor, astfel încât o singură persoană să nu controleze tot fluxul.

Precizare: analiza de risc GDPR nu este același lucru cu evaluarea de risc la securitatea fizică, care are un regim legal separat. Serviciul descris aici privește riscurile pentru datele personale.

#### Cum lucrăm

1. **Pornim de la inventarul prelucrărilor.** Folosim registrul prevăzut de art. 30 sau, dacă nu există, îl întocmim întâi.
2. **Identificăm amenințările.** Pentru fiecare prelucrare stabilim ce poate merge rău: acces neautorizat, pierdere, divulgare, modificare, indisponibilitate.
3. **Evaluăm probabilitatea și impactul.** Acordăm fiecărui risc un nivel, din perspectiva persoanelor vizate.
4. **Verificăm la fața locului.** Unde este posibil, vedem birourile, arhiva, camerele video și modul de lucru. Pentru clienții din afara zonei Călărași, verificarea se face prin interviuri și documente.
5. **Propunem măsuri.** Pentru fiecare risc semnificativ stabilim măsuri tehnice și organizatorice proporționale.
6. **Realizăm DPIA acolo unde este cazul.** Documentăm evaluarea de impact și stabilim dacă este necesară consultarea ANSPDCP.
7. **Predăm registrul riscurilor.** Vă explicăm cum se actualizează la fiecare schimbare.

#### Ce primiți

- registrul riscurilor, completat pentru activitățile de prelucrare ale organizației;
- raportul de analiză de risc, cu nivelul fiecărui risc și justificarea lui;
- planul de măsuri de securitate, pe priorități;
- documentul DPIA pentru prelucrările cu risc ridicat;
- o bază documentată pentru deciziile de securitate, utilă la un control sau după un [incident de securitate a datelor](https://kraspdpo.ro/ghid-gdpr/incident-securitate-date-72-ore/).

Registrul riscurilor se păstrează alături de celelalte evidențe; detalii pe pagina despre [registrele GDPR](https://kraspdpo.ro/servicii/registru-evidenta-prelucrari/). Dacă nu știți dacă analiza de risc este prima prioritate, un [audit GDPR](https://kraspdpo.ro/servicii/audit-gdpr/) vă arată ordinea corectă a pașilor.

#### Cât costă analiza de risc GDPR

Pentru clienții cu abonament [DPO extern](https://kraspdpo.ro/servicii/dpo-extern/), întocmirea registrului riscurilor și evaluarea periodică a riscurilor sunt incluse în prețul de 1.500 lei pe trimestru (organizații sub 40 de angajați). Separat, analiza de risc și evaluarea de impact se ofertează în funcție de numărul de activități de prelucrare, de numărul de sedii și de câte evaluări DPIA sunt necesare. KRASP DPO nu este plătitoare de TVA, deci prețul din ofertă este final. Informațiile generale despre tarife sunt pe pagina de [prețuri](https://kraspdpo.ro/preturi/).

#### Întrebări frecvente

**Când este obligatorie evaluarea de impact (DPIA)?**
Art. 35 GDPR cere DPIA atunci când o prelucrare poate genera un risc ridicat pentru drepturile persoanelor, în special la evaluarea sistematică și extinsă a unor aspecte personale, la prelucrarea pe scară largă a datelor sensibile și la monitorizarea sistematică pe scară largă a unei zone accesibile publicului. ANSPDCP a publicat și o listă a operațiunilor pentru care DPIA este obligatorie.

**Ce măsuri de securitate cere art. 32 GDPR?**
Art. 32 nu impune o listă fixă, ci măsuri adecvate riscului. Exemple date de regulament: pseudonimizarea și criptarea, asigurarea confidențialității, integrității și disponibilității sistemelor, capacitatea de a restabili accesul la date după un incident și testarea periodică a eficacității măsurilor.

**Cine face evaluarea de impact, operatorul sau DPO-ul?**
Răspunderea pentru DPIA aparține operatorului. Art. 35 alin. (2) prevede că operatorul solicită avizul responsabilului cu protecția datelor, acolo unde acesta a fost desemnat. În practică, consultantul redactează evaluarea împreună cu persoanele care cunosc prelucrarea, iar conducerea o aprobă.

**Supravegherea video necesită evaluare de impact?**
Nu întotdeauna. DPIA este cerută, printre altele, pentru monitorizarea sistematică pe scară largă a unei zone accesibile publicului (art. 35 alin. 3 lit. c). Un sistem cu câteva camere la intrarea unei firme se tratează de obicei prin analiza de risc obișnuită, dar fiecare caz trebuie verificat.

**Ce se întâmplă dacă DPIA arată un risc ridicat care nu poate fi redus?**
Înainte de a începe prelucrarea, operatorul trebuie să consulte ANSPDCP, conform art. 36 GDPR. Autoritatea poate formula recomandări sau poate cere modificarea prelucrării.

### Registrul evidenței activităților de prelucrare și celelalte registre GDPR

Sursa: https://kraspdpo.ro/servicii/registru-evidenta-prelucrari/ · actualizat 2026-11-01

Registrul evidenței activităților de prelucrare este documentul cerut de art. 30 din GDPR în care organizația descrie, pentru fiecare prelucrare de date personale, scopul, categoriile de persoane și de date, destinatarii, termenele de ștergere și măsurile de securitate. Trebuie ținut de practic orice primărie, instituție sau firmă cu angajați, alături de registrul incidentelor de securitate (art. 33 alin. 5) și de registrul riscurilor. KRASP DPO întocmește aceste registre pe baza activității reale a organizației.

#### Ce primiți

- Registrul evidenței activităților de prelucrare ca operator (art. 30 alin. 1 GDPR)
- Registrul activităților desfășurate ca persoană împuternicită, unde este cazul (art. 30 alin. 2)
- Registrul riscurilor pentru activitățile de prelucrare
- Registrul incidentelor de securitate a datelor (art. 33 alin. 5)
- Instrucțiuni scrise de actualizare pentru fiecare registru
- Actul intern de aprobare a registrelor

#### Ce este registrul evidenței activităților de prelucrare

Registrul evidenței activităților de prelucrare este inventarul scris al tuturor prelucrărilor de date personale pe care le face o organizație, cerut de art. 30 din Regulamentul (UE) 2016/679. Pentru fiecare activitate, de la salarizare și registratură până la supraveghere video sau evidența clienților, registrul arată ce date se prelucrează, de ce, despre cine, cui se transmit și cât timp se păstrează.

Registrul este documentul de bază al conformității GDPR. Notele de informare, analiza de risc, procedurile și contractele cu furnizorii pornesc toate de la el. Când ANSPDCP face un control, registrul este de obicei printre primele documente solicitate: art. 30 alin. (4) obligă operatorul să îl pună la dispoziția autorității la cerere.

#### Cine trebuie să țină registrul

Obligația revine atât operatorilor, cât și persoanelor împuternicite. Art. 30 alin. (5) prevede o excepție pentru organizațiile cu mai puțin de 250 de angajați, dar aceasta **nu se aplică** dacă prelucrarea:

- este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor;
- nu este ocazională;
- include categorii speciale de date, cum sunt datele privind sănătatea, sau date privind condamnări penale și infracțiuni.

Este suficient ca una dintre aceste condiții să fie îndeplinită pentru ca excepția să cadă. Orice organizație cu angajați prelucrează în mod regulat date pentru salarizare și dosarele de personal, deci aproape toate primăriile, instituțiile, firmele și asociațiile trebuie să țină registrul. Situația asociațiilor este descrisă pe pagina [GDPR pentru asociații de proprietari](https://kraspdpo.ro/gdpr-pentru/asociatii-proprietari/), iar lista celorlalte documente necesare este în ghidul despre [documentele GDPR obligatorii](https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/).

#### Ce trebuie să conțină registrul conform art. 30 alin. (1)

Pentru operatori, art. 30 alin. (1) GDPR stabilește informațiile obligatorii. Tabelul de mai jos le prezintă în forma în care le organizăm, de regulă, pe coloane.

| Coloană în registru | Ce se completează | Temei |
|---|---|---|
| Operator și DPO | numele și datele de contact ale operatorului, ale operatorului asociat, ale reprezentantului și ale responsabilului cu protecția datelor, după caz | art. 30 alin. (1) lit. a) |
| Scopurile prelucrării | de ce sunt prelucrate datele, de exemplu salarizare, eliberare certificate, supraveghere video | art. 30 alin. (1) lit. b) |
| Categorii de persoane vizate | angajați, cetățeni, elevi, pacienți, clienți, furnizori | art. 30 alin. (1) lit. c) |
| Categorii de date personale | date de identificare, date de contact, date financiare, date privind sănătatea, imagini | art. 30 alin. (1) lit. c) |
| Categorii de destinatari | instituții publice, bănci, firma de contabilitate, furnizorul de programe informatice, inclusiv destinatari din țări terțe | art. 30 alin. (1) lit. d) |
| Transferuri în țări terțe | țara sau organizația internațională și, în cazurile prevăzute, garanțiile adecvate | art. 30 alin. (1) lit. e) |
| Termene de ștergere | cât timp se păstrează fiecare categorie de date, acolo unde este posibil | art. 30 alin. (1) lit. f) |
| Măsuri de securitate | descrierea generală a măsurilor tehnice și organizatorice de la art. 32 alin. (1), acolo unde este posibil | art. 30 alin. (1) lit. g) |

Pe lângă coloanele obligatorii, adăugăm de obicei temeiul legal al prelucrării (art. 6 GDPR), compartimentul responsabil și sursa datelor. Nu sunt cerute expres de art. 30, dar fac registrul util în munca de zi cu zi și ușurează răspunsul la cererile persoanelor vizate.

Persoanele împuternicite, cum sunt firmele de contabilitate sau furnizorii de servicii informatice, țin un registru separat, cu conținutul prevăzut de art. 30 alin. (2).

#### Registrul riscurilor

Registrul riscurilor documentează, pentru fiecare activitate de prelucrare, riscurile identificate, nivelul lor și măsurile adoptate. GDPR nu îl numește ca atare, dar este modul practic prin care operatorul demonstrează că a ales măsurile de securitate în funcție de risc, așa cum cer art. 24 și art. 32. Întocmirea lui face parte din serviciul de [analiză de risc GDPR](https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/).

#### Registrul incidentelor de securitate

Art. 33 alin. (5) GDPR obligă operatorul să documenteze orice încălcare a securității datelor personale: faptele, efectele și măsurile de remediere. Obligația privește **toate** incidentele, nu doar pe cele notificate către ANSPDCP. Un e-mail trimis greșit, un dosar pierdut sau un calculator furat se consemnează chiar dacă, după analiză, s-a concluzionat că nu era necesară notificarea. Pașii de urmat în primele ore sunt descriși în ghidul despre [notificarea incidentelor în 72 de ore](https://kraspdpo.ro/ghid-gdpr/incident-securitate-date-72-ore/).

#### Cum lucrăm

1. **Discuție inițială.** Aflăm structura organizației, compartimentele și ce evidențe există deja.
2. **Inventarierea prelucrărilor.** Discutăm cu fiecare compartiment și notăm activitățile care implică date personale.
3. **Completarea registrului art. 30.** Pentru fiecare activitate completăm coloanele obligatorii și pe cele suplimentare utile.
4. **Verificare cu dumneavoastră.** Parcurgem registrul cu persoanele responsabile și corectăm ce nu corespunde realității.
5. **Registrul riscurilor și al incidentelor.** Întocmim registrul riscurilor pe baza inventarului și pregătim registrul incidentelor, cu instrucțiuni de completare.
6. **Aprobare internă.** Registrele se aprobă prin decizie sau dispoziție și se păstrează în formă scrisă, inclusiv electronică.

#### Ce primiți

- registrul evidenței activităților de prelucrare, complet și ușor de actualizat;
- registrul riscurilor și registrul incidentelor, pregătite pentru folosire;
- instrucțiuni clare despre cine completează fiecare registru și când;
- un document pe care îl puteți prezenta imediat la o solicitare a ANSPDCP.

Registrele se completează cu restul documentației în cadrul serviciului de [implementare GDPR](https://kraspdpo.ro/servicii/implementare-gdpr/), iar actualizarea lor se verifică la [evaluarea periodică a conformității](https://kraspdpo.ro/servicii/evaluare-conformitate-gdpr/).

#### Cât costă întocmirea registrelor GDPR

Prețul depinde de numărul de compartimente și de activități de prelucrare. Registrele se pot comanda separat sau împreună cu implementarea completă, iar abonamentul DPO extern, de 1.500 lei pe trimestru pentru organizațiile sub 40 de angajați, include întocmirea registrului riscurilor și evaluarea lui periodică. Detaliile sunt pe pagina de [prețuri](https://kraspdpo.ro/preturi/). KRASP DPO nu este plătitoare de TVA, deci prețurile comunicate sunt finale.

KRASP DPO activează din aprilie 2018 și lucrează pentru primării, agenții județene și firme. Venim la sediul dumneavoastră în județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța, iar pentru restul țării lucrăm online.

#### Întrebări frecvente

**Este obligatoriu registrul de prelucrări pentru firmele sub 250 de angajați?**
De regulă, da. Art. 30 alin. (5) GDPR scutește organizațiile sub 250 de angajați doar dacă prelucrarea nu prezintă risc, este ocazională și nu include date sensibile sau date privind condamnări penale. Gestionarea salariilor și a dosarelor de personal nu este o prelucrare ocazională, așa că scutirea se aplică rar în practică.

**În ce format se ține registrul evidenței prelucrărilor?**
Art. 30 alin. (3) GDPR cere formă scrisă, inclusiv în format electronic. Poate fi un document sau un tabel, cu condiția să conțină toate informațiile de la art. 30 alin. (1) și să fie ținut la zi.

**Trebuie trimis registrul de prelucrări la ANSPDCP?**
Nu. Registrul nu se depune și nu se înregistrează nicăieri. Conform art. 30 alin. (4), operatorul îl pune la dispoziția ANSPDCP doar la cererea acesteia, de exemplu în cadrul unui control.

**Ce se trece în registrul incidentelor de securitate?**
Toate încălcările securității datelor personale, inclusiv cele care nu au fost notificate către ANSPDCP. Pentru fiecare se consemnează faptele, efectele și măsurile de remediere luate, conform art. 33 alin. (5) GDPR.

**Cât de des se actualizează registrul evidenței prelucrărilor?**
GDPR nu stabilește o periodicitate, dar registrul trebuie să corespundă permanent activității reale. Se actualizează la fiecare prelucrare nouă, furnizor nou, schimbare de scop sau de termen de păstrare, și se verifică cel puțin la evaluarea periodică a conformității.

## GDPR pe tipuri de organizații

Sursa: https://kraspdpo.ro/gdpr-pentru/

### GDPR pentru primării: DPO extern și conformitate

Sursa: https://kraspdpo.ro/gdpr-pentru/primarii/ · actualizat 2026-11-01

Orice primărie este obligată de art. 37 alin. (1) lit. a) din GDPR să numească un responsabil cu protecția datelor (DPO), indiferent de numărul de locuitori sau de angajați. Rolul poate fi îndeplinit de un funcționar propriu sau de un DPO extern, pe bază de contract de servicii. KRASP DPO lucrează cu primării și preia acest rol cu abonament trimestrial.

#### Ce obligații GDPR are o primărie

Primăria este autoritate publică, așa că intră direct sub art. 37 alin. (1) lit. a) din Regulamentul (UE) 2016/679: trebuie să desemneze un responsabil cu protecția datelor. Obligația nu depinde de numărul de locuitori sau de angajați. O comună cu zece funcționari are aceeași obligație ca un municipiu.

Datele de contact ale DPO se publică, de exemplu pe site-ul primăriei, și se comunică la ANSPDCP (art. 37 alin. (7)). Dacă doriți să verificați cine mai are această obligație, citiți ghidul [cine are nevoie de responsabil cu protecția datelor](https://kraspdpo.ro/ghid-gdpr/cine-are-nevoie-de-dpo/).

Pe lângă DPO, primăria trebuie să poată demonstra că respectă principiile din art. 5. Concret, asta înseamnă:

- registrul activităților de prelucrare (art. 30), întocmit pe fiecare compartiment;
- note de informare pentru cetățeni și pentru angajați (art. 13–14), afișate la registratură și publicate pe site;
- o procedură pentru cererile persoanelor vizate: acces, rectificare, ștergere, opoziție (art. 15–22);
- măsuri de securitate adecvate pentru arhivă, calculatoare și programele de taxe și impozite (art. 32);
- o procedură de notificare a încălcărilor de securitate către ANSPDCP în 72 de ore (art. 33–34);
- contracte de împuternicire (art. 28) cu furnizorii de software, de găzduire a site-ului sau de mentenanță IT.

#### Ce date prelucrează o primărie

Aproape fiecare compartiment al primăriei lucrează cu date personale. Tabelul de mai jos este orientativ; temeiul exact se stabilește pentru fiecare prelucrare, în funcție de actul normativ care o reglementează.

| Activitate | Date prelucrate | Temei legal |
|---|---|---|
| Registratură și petiții | nume, adresă, telefon, conținutul cererii, uneori CNP | art. 6 alin. (1) lit. c) și e) |
| Stare civilă | acte de naștere, căsătorie, deces, date despre părinți și soți | art. 6 alin. (1) lit. c) |
| Taxe și impozite locale | CNP, domiciliu, clădiri, terenuri, vehicule, debite | art. 6 alin. (1) lit. c) |
| Asistență socială | venituri, componența familiei, date despre sănătate și dizabilitate | art. 6 alin. (1) lit. c), art. 9 alin. (2) lit. b) |
| Urbanism | cereri de certificate și autorizații, date despre proprietari și imobile | art. 6 alin. (1) lit. c) |
| Registrul agricol | membrii gospodăriei, CNP, terenuri, animale | art. 6 alin. (1) lit. c) |
| Resurse umane | dosare de personal, salarii, concedii medicale | art. 6 alin. (1) lit. b) și c), art. 9 alin. (2) lit. b) |
| Supraveghere video | imaginea cetățenilor și a angajaților | art. 6 alin. (1) lit. e); pentru angajați, și art. 5 din Legea 190/2018 |
| Ședințe de consiliu local | consilieri, persoane menționate în proiecte, înregistrări audio-video | art. 6 alin. (1) lit. c) și e) |

#### Transparență și protecția datelor: unde se ciocnesc

Legea 544/2001 obligă primăria să ofere acces la informațiile de interes public, iar Codul administrativ cere publicarea hotărârilor consiliului local. GDPR nu interzice publicarea, dar cere ca datele personale publicate să fie limitate la ce este necesar (principiul reducerii la minimum a datelor, art. 5 alin. (1) lit. c)).

În practică, echilibrul arată așa:

- hotărârile privind ajutoare, concesiuni, închirieri sau vânzări menționează numele doar când este necesar și niciodată CNP-ul, adresa completă sau date despre sănătate;
- anexele cu liste de beneficiari se anonimizează înainte de publicarea pe site;
- transmisia live a ședințelor se anunță în prealabil, iar persoanele din sală sunt informate;
- răspunsurile la cererile formulate în baza Legii 544/2001 se transmit cu datele altor persoane acoperite.

#### Ce riscă o primărie: regimul sancțiunilor

Legea 190/2018 prevede un regim distinct pentru autoritățile publice. La constatarea unei încălcări, ANSPDCP aplică mai întâi avertisment, însoțit de un plan de remediere cu termen. Dacă măsurile nu sunt îndeplinite în termen, urmează amenda, între 10.000 și 200.000 lei. Regimul complet este explicat în ghidul despre [amenzile GDPR aplicate de ANSPDCP](https://kraspdpo.ro/ghid-gdpr/amenzi-gdpr-anspdcp/).

Riscul nu se reduce la amendă. Un control ANSPDCP și un plan de remediere consumă timp din activitatea curentă, iar un incident, cum ar fi un dosar trimis la adresa greșită sau o listă de CNP-uri pusă pe site, afectează încrederea cetățenilor.

#### Greșeli frecvente în primării

- DPO numit doar formal, adesea o persoană care decide și prelucrările pe care ar trebui să le monitorizeze;
- documente preluate de pe internet, care nu descriu compartimentele și procesele reale ale primăriei;
- camere video fără semnalizare, fără termen de ștergere și fără o persoană desemnată să vadă înregistrările;
- calculatoare cu conturi comune și dosare lăsate la vedere la ghișeu;
- hotărâri și anexe publicate pe site cu CNP-uri și adrese;
- contracte cu furnizorul programului de taxe sau de registratură fără clauze de împuternicire.

Pentru camerele din sediul primăriei și din spațiile publice există un ghid separat despre [supravegherea video conform GDPR](https://kraspdpo.ro/ghid-gdpr/gdpr-supraveghere-video/).

#### Cum vă ajutăm

Lucrăm cu primării și cunoaștem ritmul real al unei zile la registratură, la biroul de taxe sau la asistență socială. Fondatorul firmei are 23 de ani de experiență, dintre care 14 în domeniul securității, este manager de securitate certificat și evaluator de risc la securitatea fizică, înscris în registrul național. Asta contează la arhive, la accesul în clădire și la sistemele video.

Concret, preluăm rolul de [DPO extern pentru primărie](https://kraspdpo.ro/servicii/dpo-extern/): răspundem la cererile cetățenilor, ținem legătura cu ANSPDCP, avizăm documentele și gestionăm incidentele. Dacă primăria nu are încă documentația, începem cu un [audit GDPR al compartimentelor](https://kraspdpo.ro/servicii/audit-gdpr/), apoi întocmim [registrul evidenței prelucrărilor](https://kraspdpo.ro/servicii/registru-evidenta-prelucrari/) și organizăm [instruirea funcționarilor](https://kraspdpo.ro/servicii/instruire-gdpr-angajati/) pe situațiile concrete de la ghișeu.

Lucrăm cu instituții din Călărași și din județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța, la sediul acestora, și cu instituții din restul țării, online.

#### Cât costă

Pentru primăriile cu sub 40 de angajați, abonamentul este 1.500 lei pe trimestru, preț final, deoarece firma nu este plătitoare de TVA. Pentru primăriile cu mai mulți angajați facem o ofertă după o discuție despre structura aparatului de specialitate. Detaliile sunt pe pagina de [prețuri pentru servicii GDPR](https://kraspdpo.ro/preturi/).

#### Întrebări frecvente

**Este obligatoriu DPO-ul pentru o primărie de comună?**
Da. Art. 37 alin. (1) lit. a) din GDPR obligă orice autoritate publică să desemneze un responsabil cu protecția datelor. Obligația nu depinde de mărimea comunei, a aparatului de specialitate sau a bugetului.

**Poate fi DPO un funcționar din primărie?**
Poate, dacă are cunoștințele necesare și dacă celelalte atribuții nu creează un conflict de interese (art. 38 alin. (6)). Nu este potrivită o persoană care decide scopurile și mijloacele prelucrărilor, de exemplu șeful unui compartiment care lucrează intens cu date personale. Alternativa este un DPO extern, pe bază de contract de servicii (art. 37 alin. (6)).

**Ce amendă poate primi o primărie pentru nerespectarea GDPR?**
Legea 190/2018 prevede pentru autoritățile publice mai întâi un avertisment cu plan de remediere. Dacă măsurile nu sunt îndeplinite în termen, ANSPDCP poate aplica amendă între 10.000 și 200.000 lei.

**Pot publica hotărârile consiliului local care conțin nume de persoane?**
Hotărârile se publică, conform legii, dar datele personale din ele trebuie limitate la ce este necesar. CNP-ul, adresa completă, datele despre sănătate sau situația socială a beneficiarilor nu au ce căuta în varianta publicată pe site; anexele se anonimizează înainte de publicare.

**Mai multe primării pot avea același DPO?**
Da. Art. 37 alin. (3) din GDPR permite desemnarea unui singur responsabil cu protecția datelor pentru mai multe autorități publice, ținând seama de structura organizatorică și de dimensiunea acestora.

### GDPR pentru instituții publice: agenții județene, direcții și consilii județene

Sursa: https://kraspdpo.ro/gdpr-pentru/institutii-publice/ · actualizat 2026-11-01

Agențiile județene, direcțiile, serviciile publice deconcentrate și descentralizate și consiliile județene sunt autorități publice, deci trebuie să numească un responsabil cu protecția datelor (art. 37 alin. (1) lit. a) din GDPR). Riscurile specifice lor țin de accesul la baze de date naționale, de volumul mare de dosare ale beneficiarilor și de schimbul de date cu alte instituții. KRASP DPO lucrează cu agenții județene și asigură rolul de DPO extern.

#### Ce obligații GDPR are o instituție publică

Agențiile județene, direcțiile generale, serviciile publice deconcentrate ale ministerelor, serviciile publice din subordinea consiliului județean și consiliul județean însuși sunt autorități publice. Pentru toate, art. 37 alin. (1) lit. a) din Regulamentul (UE) 2016/679 impune desemnarea unui responsabil cu protecția datelor. Explicăm pe larg criteriile în ghidul [cine are nevoie de DPO](https://kraspdpo.ro/ghid-gdpr/cine-are-nevoie-de-dpo/).

Obligațiile de bază sunt aceleași ca pentru orice operator: registrul activităților de prelucrare (art. 30), informarea persoanelor (art. 13–14), respectarea drepturilor acestora (art. 15–22), măsuri de securitate (art. 32), notificarea incidentelor în 72 de ore (art. 33–34) și evaluarea de impact acolo unde prelucrarea prezintă risc ridicat (art. 35).

Diferența față de o primărie nu stă în obligații, ci în contextul în care lucrați: dosare numeroase ale beneficiarilor, aplicații naționale la care au acces zeci de utilizatori, birouri teritoriale și un flux continuu de date către și dinspre alte instituții. Pentru administrația locală de la nivel de comună și oraș avem o pagină separată despre [GDPR în primării](https://kraspdpo.ro/gdpr-pentru/primarii/).

#### Ce date prelucrați

| Activitate | Date prelucrate | Temei legal |
|---|---|---|
| Acordarea de drepturi, prestații și servicii | identificare, CNP, venituri, componența familiei, adeverințe | art. 6 alin. (1) lit. c) și e) |
| Dosare de asistență și protecție socială | date despre sănătate, dizabilitate, situația copiilor | art. 6 alin. (1) lit. c) și e), art. 9 alin. (2) lit. b) |
| Utilizarea aplicațiilor și bazelor de date naționale | conturi de utilizator, istoricul accesărilor, datele consultate | art. 6 alin. (1) lit. c) și e) |
| Schimb de date cu alte instituții | liste de beneficiari, situații centralizate, verificări încrucișate | art. 6 alin. (1) lit. c) și e), pe baza legii speciale |
| Răspuns la solicitări ale poliției, instanțelor, executorilor | date din dosare, extrase din evidențe | art. 6 alin. (1) lit. c) |
| Controale și inspecții | date despre persoanele controlate, procese-verbale | art. 6 alin. (1) lit. e) |
| Resurse umane | dosare de personal, salarii, concedii medicale | art. 6 alin. (1) lit. b) și c), art. 9 alin. (2) lit. b) |
| Acces în sediu și supraveghere video | registrul vizitatorilor, imagini | art. 6 alin. (1) lit. e); pentru angajați, și art. 5 din Legea 190/2018 |

#### Bazele de date naționale: cine răspunde pentru ce

Multe instituții județene lucrează în aplicații administrate de minister sau de agenția națională. Aplicația poate fi centrală, dar accesul angajaților din județ este responsabilitatea instituției județene. Întrebările la care trebuie să aveți răspuns scris sunt simple:

- cine primește cont și cine aprobă acordarea lui;
- cine închide contul când un angajat pleacă sau se mută pe alt post;
- dacă angajații consultă date doar pentru dosarele pe care le au în lucru;
- unde ajung exporturile din aplicație (fișiere Excel salvate pe desktop, trimise pe e-mail, printate).

Consultarea din curiozitate a datelor unei rude sau ale unui vecin este tot o prelucrare ilegală, chiar dacă angajatul avea cont valid.

#### Transferuri între instituții și protocoale de colaborare

Instituțiile publice fac schimb de date aproape zilnic: verificări încrucișate privind veniturile, liste de beneficiari, comunicări către alte autorități. Temeiul acestor transmiteri trebuie să existe într-o lege. Protocolul de colaborare nu îl înlocuiește, dar îl pune în practică. Un protocol bine scris stabilește:

- ce categorii de date se transmit și în ce scop, fără formulări generale;
- temeiul legal pentru fiecare flux;
- canalul de transmitere și măsurile de securitate (fișiere criptate, nu atașamente deschise pe e-mail);
- cine are acces la date la instituția care le primește și cât timp le păstrează;
- ce se întâmplă în caz de incident de securitate.

Dacă mai multe instituții stabilesc împreună scopurile și mijloacele unei prelucrări, relația dintre ele trebuie clarificată explicit, iar persoanele vizate trebuie să știe cui se adresează.

#### Greșeli frecvente

- conturi în aplicații naționale care rămân active după plecarea angajatului;
- protocoale semnate acum mulți ani, care nu menționează protecția datelor;
- liste de beneficiari transmise ca atașament necriptat pe adrese de e-mail personale;
- dosare fizice transportate între birourile teritoriale fără un circuit clar;
- un singur registru de prelucrări pentru toată instituția, care nu reflectă compartimentele reale;
- informări pentru beneficiari afișate doar pe site, deși aceștia vin mai ales la ghișeu.

#### Cum vă ajutăm

Lucrăm cu agenții județene și cu primării, deci cunoaștem atât circuitul dosarelor, cât și relația cu instituțiile centrale. Fondatorul firmei are 23 de ani de experiență, dintre care 14 în securitate, și este manager de securitate certificat și evaluator de risc la securitatea fizică.

Preluăm rolul de [responsabil cu protecția datelor extern](https://kraspdpo.ro/servicii/dpo-extern/) pentru instituția dumneavoastră. Când este nevoie de o imagine clară a situației actuale, facem o [evaluare a conformității GDPR](https://kraspdpo.ro/servicii/evaluare-conformitate-gdpr/), apoi o [analiză a riscurilor pentru fluxurile de date](https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/), inclusiv pentru accesul la bazele de date naționale și pentru schimburile cu alte instituții. Revizuim protocoalele de colaborare și întocmim [registrul activităților de prelucrare](https://kraspdpo.ro/servicii/registru-evidenta-prelucrari/) pe fiecare compartiment.

Deplasările la sediu le facem în Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța; pentru restul țării lucrăm online.

#### Cât costă

Pentru instituțiile cu sub 40 de angajați, abonamentul este 1.500 lei pe trimestru, preț final, deoarece firma nu este plătitoare de TVA. Peste acest prag facem o ofertă după o discuție despre structură și birourile teritoriale. Informațiile sunt pe pagina de [prețuri](https://kraspdpo.ro/preturi/).

#### Întrebări frecvente

**O agenție județeană care folosește o bază de date a ministerului are nevoie de propriul DPO?**
Da. Agenția este autoritate publică și are obligația proprie de a desemna un DPO (art. 37 alin. (1) lit. a)). Faptul că aplicația informatică este administrată la nivel central nu mută asupra ministerului răspunderea pentru felul în care angajații agenției accesează și folosesc datele.

**Este suficientă legea pentru a transmite date altei instituții, sau e nevoie de protocol?**
Temeiul transmiterii trebuie să existe în lege. Protocolul de colaborare nu creează temeiul, dar stabilește concret ce date se transmit, cu ce frecvență, pe ce canal, cine are acces și cât se păstrează. Pentru schimburile de date repetate, protocolul este modul prin care instituția își poate demonstra conformitatea.

**Cum răspundem unei solicitări de date venite de la poliție sau de la un executor judecătoresc?**
Verificați ca solicitarea să fie scrisă, să indice temeiul legal și scopul și să vină de la o persoană îndreptățită. Transmiteți doar datele cerute și necesare, printr-un canal sigur, și păstrați evidența comunicării. DPO-ul poate aviza solicitările neobișnuite.

**Consiliul județean și instituțiile subordonate pot avea același DPO?**
Art. 37 alin. (3) din GDPR permite un singur DPO pentru mai multe autorități publice, ținând seama de structura și dimensiunea lor. Fiecare instituție rămâne însă operator separat, cu propriul registru și propriile proceduri.

**Ce sancțiune poate primi o instituție publică?**
Conform Legii 190/2018, ANSPDCP aplică autorităților publice mai întâi avertisment cu plan de remediere, iar dacă planul nu este îndeplinit în termen, amendă între 10.000 și 200.000 lei.

### GDPR pentru firme și IMM-uri: conformitate fără birocrație inutilă

Sursa: https://kraspdpo.ro/gdpr-pentru/firme-imm/ · actualizat 2026-11-01

Orice firmă care are angajați, clienți persoane fizice sau un site cu formular de contact prelucrează date personale și trebuie să respecte GDPR, indiferent de mărime. Un IMM are nevoie, de regulă, de registrul prelucrărilor, note de informare, clauze contractuale cu furnizorii și reguli clare pentru angajați; DPO-ul este obligatoriu doar în anumite situații. KRASP DPO oferă firmelor cu sub 40 de angajați un abonament de 1.500 lei pe trimestru, preț final.

#### Ce obligații GDPR are o firmă mică

Regulamentul (UE) 2016/679 se aplică oricărei firme care prelucrează date personale. Un SRL cu trei angajați, un magazin online sau un service auto intră toate în această categorie. Datele angajaților, ale clienților persoane fizice, ale persoanelor de contact de la furnizori și ale celor care completează formularul de pe site sunt date personale. Dacă doriți o explicație de bază, începeți cu ghidul [ce este GDPR](https://kraspdpo.ro/ghid-gdpr/ce-este-gdpr/).

Pentru un IMM, obligațiile concrete sunt, de regulă:

- **temei legal pentru fiecare prelucrare** (art. 6): contract, obligație legală, interes legitim sau consimțământ;
- **registrul activităților de prelucrare** (art. 30);
- **note de informare** pentru angajați, clienți și vizitatorii site-ului (art. 13–14);
- **o procedură pentru cererile persoanelor** care vor să își vadă, corecteze sau șteargă datele (art. 15–22);
- **clauze de împuternicire** cu contabilul extern, firma de IT, furnizorul de software de facturare sau de CRM (art. 28);
- **măsuri de securitate** proporționale: parole, backup, drepturi de acces, dulapuri încuiate (art. 32);
- **o procedură pentru incidente** și notificarea ANSPDCP în 72 de ore, atunci când este cazul (art. 33–34).

Lista completă, explicată pe înțelesul unui antreprenor, este în ghidul despre [documentele GDPR obligatorii](https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/).

##### Excepția pentru firmele sub 250 de angajați

Art. 30 alin. (5) scutește de registru firmele cu mai puțin de 250 de angajați, dar numai dacă prelucrarea este ocazională, nu prezintă risc și nu include date sensibile. Salarizarea este o prelucrare permanentă, iar certificatele de concediu medical conțin date despre sănătate. În practică, aproape orice firmă cu angajați trebuie să țină registrul.

##### Când este obligatoriu DPO-ul

Pentru firmele private, DPO-ul este obligatoriu doar dacă activitățile principale presupun monitorizarea regulată și sistematică pe scară largă a persoanelor sau prelucrarea pe scară largă a datelor sensibile (art. 37 alin. (1) lit. b) și c)). Pentru majoritatea IMM-urilor nu este cazul, dar obligațiile de mai sus rămân.

#### Ce date prelucrează o firmă

| Activitate | Date prelucrate | Temei legal |
|---|---|---|
| Resurse umane și salarizare | CNP, act de identitate, studii, salariu, cont bancar, Revisal | art. 6 alin. (1) lit. b) și c) |
| Concedii medicale | certificate medicale, diagnostic codificat | art. 9 alin. (2) lit. b) |
| Clienți persoane fizice | nume, adresă de livrare, telefon, e-mail, istoric comenzi | art. 6 alin. (1) lit. b) |
| Facturare și contabilitate | date de facturare, plăți | art. 6 alin. (1) lit. c) |
| Newsletter și marketing | e-mail, preferințe | art. 6 alin. (1) lit. a) |
| Recrutare | CV-uri, date din interviuri | art. 6 alin. (1) lit. b) sau a) |
| Supraveghere video | imaginea angajaților, clienților, vizitatorilor | art. 6 alin. (1) lit. f) și art. 5 din Legea 190/2018 |
| Monitorizare GPS a autovehiculelor | locație, trasee, ore de lucru | art. 6 alin. (1) lit. f) și art. 5 din Legea 190/2018 |

#### Greșeli frecvente

- **Documente descărcate de pe internet.** Un set generic care menționează activități pe care firma nu le are nu demonstrează conformitatea, ci arată lipsa ei.
- **Consimțământ cerut pentru orice.** Contractul de muncă sau livrarea unei comenzi nu se bazează pe consimțământ. Folosit greșit, consimțământul creează obligații în plus, fiindcă poate fi retras oricând.
- **CV-uri păstrate la nesfârșit** în căsuța de e-mail, fără informare și fără termen.
- **Camere video instalate fără informarea angajaților**, cu imagini păstrate luni de zile.
- **Grupuri de mesagerie** în care circulă copii după buletine sau date ale clienților.
- **Contabilul extern fără contract de împuternicire**, deși primește lunar datele tuturor angajaților.
- **Site cu formular de contact fără notă de informare**, sau cu module de cookie-uri de marketing care se activează înainte ca vizitatorul să își dea acordul.
- **Parole comune pe calculatoare și conturi**, fără ca cineva să știe cine a accesat datele și când. Când un angajat pleacă, conturile lui rămân active luni de zile.

Niciuna dintre aceste situații nu cere investiții mari pentru a fi corectată. Cer însă ca cineva din firmă să știe regulile și să le aplice constant, nu doar când apare o problemă.

Pentru camere, citiți și ghidul despre [supravegherea video la locul de muncă](https://kraspdpo.ro/ghid-gdpr/gdpr-supraveghere-video/).

#### Cum vă ajutăm

Lucrăm cu firme private și știm că un antreprenor nu are timp de documente pe care nu le înțelege. De aceea pornim de la ce face firma efectiv: cine are acces la ce date, ce programe folosiți, cui trimiteți date.

- Dacă nu ați făcut nimic până acum, ne ocupăm de [implementarea GDPR în firmă](https://kraspdpo.ro/servicii/implementare-gdpr/): inventarul datelor, registrul, notele de informare, clauzele cu furnizorii și procedurile interne.
- Dacă aveți deja documente, dar nu știți dacă sunt corecte, vă oferim [consultanță GDPR pentru IMM-uri](https://kraspdpo.ro/servicii/consultanta-gdpr/) și le adaptăm la situația reală.
- Pentru angajați organizăm o [instruire GDPR scurtă și practică](https://kraspdpo.ro/servicii/instruire-gdpr-angajati/), cu exemple din activitatea firmei.
- Dacă vreți ca cineva să răspundă în continuare de acest subiect, putem prelua rolul de [DPO extern](https://kraspdpo.ro/servicii/dpo-extern/), chiar și acolo unde nu este obligatoriu.

Fondatorul firmei are 23 de ani de experiență, dintre care 14 în securitate, și este manager de securitate certificat și evaluator de risc la securitatea fizică. Lucrăm la sediul clientului în Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța și online cu firme din toată țara.

#### Cât costă

Pentru firmele cu sub 40 de angajați, abonamentul este **1.500 lei pe trimestru**. Este preț final: KRASP DPO nu este plătitoare de TVA, deci nu se adaugă nimic pe factură. Pentru firmele mai mari facem o ofertă după o scurtă discuție. Detaliile sunt pe pagina de [prețuri](https://kraspdpo.ro/preturi/).

#### Întrebări frecvente

**Un SRL cu 5 angajați trebuie să respecte GDPR?**
Da. GDPR se aplică oricărei firme care prelucrează date personale, iar datele angajaților sunt deja date personale. Mărimea firmei influențează volumul documentației, nu existența obligațiilor.

**Firma mea are sub 250 de angajați. Mai trebuie să țin registrul prelucrărilor?**
În cele mai multe cazuri, da. Excepția din art. 30 alin. (5) nu se aplică dacă prelucrarea nu este ocazională, dacă prezintă risc sau dacă include categorii speciale de date. Salarizarea și evidența personalului sunt prelucrări permanente, iar concediile medicale conțin date despre sănătate.

**Este obligatoriu DPO-ul pentru o firmă mică?**
De obicei nu. Art. 37 alin. (1) lit. b) și c) impune DPO firmelor ale căror activități principale presupun monitorizarea sistematică pe scară largă a persoanelor sau prelucrarea pe scară largă a datelor sensibile. Multe firme aleg totuși un DPO extern sau un consultant pentru a avea pe cineva care răspunde la întrebări și ține documentația la zi.

**Cât costă conformitatea GDPR pentru un IMM?**
La KRASP DPO, abonamentul pentru firmele cu sub 40 de angajați este 1.500 lei pe trimestru, preț final, deoarece firma nu este plătitoare de TVA. Pentru firmele mai mari facem o ofertă.

**Pot monta camere video în birou sau în depozit?**
Da, cu condițiile din art. 5 al Legii 190/2018: interes legitim justificat, informarea prealabilă a angajaților, consultarea sindicatului sau a reprezentanților salariaților și păstrarea imaginilor cel mult 30 de zile, cu excepțiile prevăzute de lege sau justificate.

### GDPR pentru școli și grădinițe: datele elevilor, fotografii și DPO

Sursa: https://kraspdpo.ro/gdpr-pentru/scoli-gradinite/ · actualizat 2026-11-01

Școlile și grădinițele de stat sunt autorități publice, deci trebuie să numească un responsabil cu protecția datelor (art. 37 alin. (1) lit. a) din GDPR). Ele prelucrează în principal date ale minorilor: catalog, dosare, date medicale, fotografii și conturi pe platforme online. Publicarea fotografiilor cu copiii necesită, de regulă, acordul scris al părinților, separat de înscriere.

#### Ce obligații GDPR are o școală sau o grădiniță

Unitățile de învățământ de stat sunt autorități publice. Pentru ele, art. 37 alin. (1) lit. a) din Regulamentul (UE) 2016/679 impune desemnarea unui responsabil cu protecția datelor, indiferent de numărul de elevi. Criteriile sunt explicate în ghidul [cine are nevoie de DPO](https://kraspdpo.ro/ghid-gdpr/cine-are-nevoie-de-dpo/).

Pe lângă DPO, școala are aceleași obligații ca orice operator:

- registrul activităților de prelucrare (art. 30), care acoperă secretariatul, cadrele didactice, cabinetul medical și administrația;
- note de informare pentru părinți, elevi și personal (art. 13–14), scrise pe înțelesul părinților;
- respectarea drepturilor persoanelor vizate (art. 15–22), exercitate de regulă de părinți în numele copiilor;
- măsuri de securitate pentru catalog, dosare, calculatoarele din secretariat și conturile pe platforme (art. 32);
- procedură de notificare a incidentelor în 72 de ore (art. 33–34);
- contracte de împuternicire (art. 28) cu furnizorii de catalog electronic, platforme educaționale și servicii IT.

Specificul școlii este că majoritatea persoanelor vizate sunt copii. GDPR cere o protecție sporită pentru datele minorilor, fiindcă aceștia înțeleg mai greu riscurile.

#### Ce date prelucrați

| Activitate | Date prelucrate | Temei legal |
|---|---|---|
| Înscriere și dosarul elevului | certificat de naștere, CNP, domiciliu, date ale părinților | art. 6 alin. (1) lit. c) și e) |
| Catalog, situații școlare, SIIIR | note, absențe, medii, situații disciplinare | art. 6 alin. (1) lit. c) și e) |
| Cabinet medical școlar, scutiri | fișa medicală, adeverințe, alergii, vaccinări | art. 9 alin. (2) lit. h) |
| Cerințe educaționale speciale | certificat de orientare școlară, evaluări, diagnostic | art. 6 alin. (1) lit. e), art. 9 alin. (2) lit. g) sau h) |
| Burse și sprijin social | venituri ale familiei, situația socială | art. 6 alin. (1) lit. c) |
| Platforme online și conturi de elev | nume, adresă de e-mail, activitate pe platformă | art. 6 alin. (1) lit. e) |
| Fotografii și filmări publicate | imaginea copiilor | art. 6 alin. (1) lit. a), acordul părinților |
| Supraveghere video | imaginea elevilor, a personalului și a vizitatorilor | art. 6 alin. (1) lit. e); pentru personal, și art. 5 din Legea 190/2018 |
| Resurse umane | dosare de personal, salarii, concedii medicale | art. 6 alin. (1) lit. b) și c), art. 9 alin. (2) lit. b) |

#### Fotografiile cu copiii și acordul părinților

Fotografiile de la serbări, concursuri sau excursii sunt cea mai vizibilă prelucrare dintr-o școală. Publicarea lor pe site, pe Facebook sau în presa locală nu este necesară pentru actul educațional, deci se bazează pe consimțământul părinților. Ca să fie valabil:

- acordul se cere separat de cererea de înscriere și nu se bifează implicit;
- formularul precizează unde se publică imaginile (site, rețele sociale, revista școlii, afișe);
- refuzul nu are nicio consecință pentru copil, care participă în continuare la activități;
- părinții pot retrage acordul oricând, iar școala scoate fotografiile de pe canalele proprii;
- numele complet al copilului nu se asociază cu fotografia fără motiv.

Fotografiile făcute de părinți la serbare pentru uz personal sunt altă discuție; școala poate însă cere părinților, prin regulament, să nu le publice pe cele în care apar alți copii.

#### Catalog, platforme și camere video

**Catalogul** pe hârtie se păstrează încuiat, iar cel electronic se folosește doar cu conturi individuale, fiecare părinte având acces la situația propriului copil. Situațiile școlare, absențele și sancțiunile unui elev nu se discută în grupuri comune și nu se afișează pe hol.

**Platformele online** folosite pentru lecții sau teme trebuie alese de școală, nu de fiecare profesor separat, și configurate cu conturi create de școală. Furnizorul platformei este împuternicit, deci este nevoie de un contract cu clauzele din art. 28.

**Camerele video** se montează la intrări, pe holuri și în curte, cu semnalizare vizibilă și termen de păstrare stabilit. Detalii în ghidul despre [supravegherea video conform GDPR](https://kraspdpo.ro/ghid-gdpr/gdpr-supraveghere-video/).

#### Greșeli frecvente

- liste cu note, absențe sau probleme de sănătate trimise în grupul de mesagerie al clasei;
- un singur acord generic pentru „orice fotografie, oriunde”, semnat la înscriere;
- cadre didactice care folosesc conturi personale pe platforme alese individual;
- dosare cu certificate medicale și evaluări psihologice ținute în dulapuri neîncuiate;
- parola de la catalogul electronic împărtășită între colegi;
- lipsa unui DPO desemnat, deși unitatea este de stat.

#### Cum vă putem ajuta

Pentru o școală sau o grădiniță, primul pas este o [implementare GDPR adaptată unității de învățământ](https://kraspdpo.ro/servicii/implementare-gdpr/): inventarul datelor, registrul, notele de informare pentru părinți, formularul de acord pentru fotografii și regulile pentru grupurile de mesagerie. Pentru catalog, platforme și camere facem o [analiză a riscurilor pentru datele elevilor](https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/).

Pentru a respecta obligația legală, putem prelua rolul de [DPO extern al școlii](https://kraspdpo.ro/servicii/dpo-extern/). Organizăm și [instruire GDPR pentru cadrele didactice și secretariat](https://kraspdpo.ro/servicii/instruire-gdpr-angajati/), cu situațiile de zi cu zi: ședințe cu părinții, excursii, concursuri, grupuri online.

Fondatorul firmei are 23 de ani de experiență, dintre care 14 în securitate, și este manager de securitate certificat și evaluator de risc la securitatea fizică, ceea ce ajută la accesul în clădire și la sistemele video. Venim la sediu în Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța și lucrăm online cu unități din restul țării.

#### Cât costă

Pentru unitățile cu sub 40 de angajați, abonamentul este 1.500 lei pe trimestru, preț final, deoarece firma nu este plătitoare de TVA. Pentru unitățile mai mari facem o ofertă. Toate detaliile sunt pe pagina de [prețuri](https://kraspdpo.ro/preturi/).

#### Întrebări frecvente

**O școală de stat are nevoie de DPO?**
Da. Unitățile de învățământ de stat sunt autorități publice, iar art. 37 alin. (1) lit. a) din GDPR le obligă să desemneze un responsabil cu protecția datelor. Același DPO poate fi desemnat pentru mai multe unități, conform art. 37 alin. (3).

**Pot publica pe pagina de Facebook a școlii fotografii de la serbare?**
Doar cu acordul părinților copiilor care apar în fotografii, cerut separat de actele de înscriere, pentru scopuri precise (site, rețele sociale, revista școlii). Acordul poate fi refuzat sau retras fără consecințe pentru copil, iar fotografiile acelor copii nu se publică.

**Este legal un grup de WhatsApp al părinților administrat de învățătoare?**
Grupul poate fi folosit pentru anunțuri, dar în el nu trebuie să circule note, situații disciplinare, probleme de sănătate sau documente ale copiilor. Informațiile despre un anumit elev se comunică doar părinților acestuia.

**Putem monta camere video în sălile de clasă?**
Camerele în sala de clasă monitorizează atât elevii, cât și cadrele didactice și sunt greu de justificat. Holurile, intrările și curtea sunt zonele obișnuite. Pentru personal se aplică art. 5 din Legea 190/2018: informare prealabilă, consultarea sindicatului sau a reprezentanților salariaților și păstrarea imaginilor cel mult 30 de zile, cu excepțiile prevăzute.

**Grădinițele particulare au aceleași obligații?**
Au aceleași obligații generale din GDPR: registru, informare, securitate, contracte cu furnizorii. Obligația de a numi DPO nu decurge automat din art. 37 alin. (1) lit. a), fiindcă nu sunt autorități publice, dar se analizează de la caz la caz.

### GDPR pentru cabinete medicale, clinici și cabinete stomatologice

Sursa: https://kraspdpo.ro/gdpr-pentru/cabinete-medicale/ · actualizat 2026-11-01

Datele privind sănătatea sunt o categorie specială de date (art. 9 GDPR), iar un cabinet medical le poate prelucra fără consimțământul GDPR al pacientului, în baza art. 9 alin. (2) lit. h), pentru diagnostic și tratament, sub obligația de secret profesional. Cabinetul are nevoie de registru, informarea pacienților, contracte cu furnizorii de software și laboratoare și măsuri de securitate stricte. DPO-ul devine obligatoriu atunci când datele de sănătate sunt prelucrate pe scară largă, cum se întâmplă de regulă la clinici și rețele.

#### Ce obligații GDPR are un cabinet medical

Un cabinet medical, o clinică sau un cabinet stomatologic prelucrează în fiecare zi date privind sănătatea. Art. 9 din Regulamentul (UE) 2016/679 le încadrează în categoriile speciale de date, a căror prelucrare este în principiu interzisă, cu excepțiile enumerate expres.

Pentru activitatea medicală, excepția relevantă este art. 9 alin. (2) lit. h): prelucrarea este necesară pentru medicina preventivă, diagnostic, asigurarea îngrijirilor sau a tratamentului. Condiția din art. 9 alin. (3) este ca datele să fie prelucrate de profesioniști supuși obligației de secret profesional sau sub responsabilitatea acestora. Asta include asistentele, registratura și personalul auxiliar, care trebuie să aibă obligații scrise de confidențialitate.

Obligațiile practice ale cabinetului sunt:

- registrul activităților de prelucrare (art. 30); excepția pentru sub 250 de angajați nu se aplică, fiindcă se prelucrează date sensibile;
- informarea pacienților (art. 13), afișată la recepție și publicată pe site;
- procedura pentru cererile pacienților: acces la dosar, copii, rectificare (art. 15–22);
- contracte de împuternicire (art. 28) cu furnizorul programului medical, laboratorul extern când acționează în numele cabinetului, firma de IT și cea de arhivare;
- măsuri de securitate adecvate riscului ridicat (art. 32);
- notificarea incidentelor către ANSPDCP în 72 de ore și, când riscul este ridicat, informarea pacienților (art. 33–34). Procedura este explicată în ghidul despre [incidentele de securitate și termenul de 72 de ore](https://kraspdpo.ro/ghid-gdpr/incident-securitate-date-72-ore/).

##### Când este obligatoriu DPO-ul

Art. 37 alin. (1) lit. c) impune DPO atunci când activitatea principală constă în prelucrarea pe scară largă a categoriilor speciale de date. Considerentul 91 precizează că un medic individual nu prelucrează date pe scară largă. O clinică cu mai multe specialități, o policlinică sau un lanț de cabinete trebuie însă să evalueze situația și, frecvent, să realizeze o evaluare de impact (art. 35). Detalii în ghidul [cine are nevoie de DPO](https://kraspdpo.ro/ghid-gdpr/cine-are-nevoie-de-dpo/).

#### Ce date prelucrați

| Activitate | Date prelucrate | Temei legal |
|---|---|---|
| Programări | nume, telefon, motivul vizitei | art. 6 alin. (1) lit. b), art. 9 alin. (2) lit. h) |
| Fișa pacientului, consultații | anamneză, diagnostic, tratament, investigații | art. 6 alin. (1) lit. c), art. 9 alin. (2) lit. h) |
| Raportări către casa de asigurări | CNP, servicii prestate, diagnostic | art. 6 alin. (1) lit. c), art. 9 alin. (2) lit. h) |
| Rețete, trimiteri, bilete | identificare, diagnostic, medicație | art. 9 alin. (2) lit. h) |
| Radiografii și fotografii clinice | imagini medicale, fotografii intraorale | art. 9 alin. (2) lit. h) |
| Fotografii pentru site și rețele sociale | imaginea pacientului, rezultate ale tratamentului | art. 9 alin. (2) lit. a), consimțământ explicit |
| Facturare și plăți | nume, date de facturare | art. 6 alin. (1) lit. c) |
| Supraveghere video la recepție | imaginea pacienților și a personalului | art. 6 alin. (1) lit. f) și art. 5 din Legea 190/2018 |

Camerele video nu se montează în cabinetele de consultație, în sălile de tratament sau în vestiare.

#### Specificul cabinetelor stomatologice

Un cabinet stomatologic lucrează cu radiografii panoramice și retroalveolare, fotografii intraorale, scanări și planuri de tratament transmise laboratorului de tehnică dentară. Toate sunt date privind sănătatea. Întrebările care apar des:

- laboratorul de tehnică dentară primește doar datele necesare lucrării, nu întregul dosar;
- imaginile „înainte și după” se publică doar cu consimțământ explicit, iar fața pacientului sau alte elemente de identificare se evită;
- aparatele de radiologie și scanerele salvează date pe calculatoare care trebuie protejate la fel ca programul principal.

#### Drepturile pacienților asupra datelor

Pacientul are dreptul să afle ce date deține cabinetul despre el și să primească o copie a acestora (art. 15), iar răspunsul se dă în cel mult o lună. Poate cere corectarea datelor de identificare sau de contact greșite. Ștergerea fișei medicale nu se poate cere oricând: dacă legislația sănătății obligă cabinetul să păstreze documentele medicale, dreptul la ștergere nu se aplică pe durata acestei obligații. Este util ca recepția să știe cui transmite astfel de cereri și cum verifică identitatea celui care le face.

#### Greșeli frecvente

- confuzia între consimțământul informat pentru actul medical și consimțământul GDPR, cu formulare care cer acord pentru orice;
- calculatorul de la recepție rămas deschis, cu programul medical vizibil pentru pacienții din sala de așteptare;
- programări și rezultate discutate prin aplicații de mesagerie pe telefonul personal al medicului;
- lipsa contractului de împuternicire cu furnizorul programului medical găzduit în cloud;
- fișe pe hârtie ținute în dulapuri neîncuiate pe hol;
- conturi comune pentru tot personalul, fără istoric al accesărilor.

#### Cum vă putem ajuta

Pentru un cabinet sau o clinică pornim de la fluxul real al pacientului: programare, recepție, consultație, investigații, facturare, arhivă. Pe baza lui facem [implementarea GDPR pentru cabinetul medical](https://kraspdpo.ro/servicii/implementare-gdpr/): registru, informarea pacienților, formularele de consimțământ pentru fotografii, contractele cu furnizorii și procedura pentru incidente.

Datele de sănătate cer o [analiză a riscurilor de securitate](https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/): acces fizic la fișe, conturi, backup, dispozitive medicale conectate. Fondatorul firmei are 23 de ani de experiență, dintre care 14 în securitate, este manager de securitate certificat și evaluator de risc la securitatea fizică, înscris în registrul național. Pentru clinicile unde DPO-ul este obligatoriu sau util, putem prelua rolul de [DPO extern pentru clinică](https://kraspdpo.ro/servicii/dpo-extern/).

Venim la sediu în Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța; cu cabinetele din restul țării lucrăm online.

#### Cât costă

Pentru cabinetele și clinicile cu sub 40 de angajați, abonamentul este 1.500 lei pe trimestru, preț final, deoarece firma nu este plătitoare de TVA. Pentru clinicile mai mari facem o ofertă. Informațiile complete sunt pe pagina de [prețuri](https://kraspdpo.ro/preturi/).

#### Întrebări frecvente

**Trebuie să cer pacienților consimțământul GDPR pentru fișa medicală?**
Nu. Fișa medicală se întocmește în baza art. 9 alin. (2) lit. h) din GDPR, pentru diagnostic și tratament, de către profesioniști supuși secretului profesional. Consimțământul informat pentru actul medical este o altă obligație, din legislația sănătății, și nu trebuie confundat cu consimțământul GDPR. Pacientul trebuie însă informat despre prelucrare (art. 13).

**Un cabinet medical individual are nevoie de DPO?**
De regulă, nu. Considerentul 91 al GDPR arată că prelucrarea datelor pacienților de către un medic individual nu este considerată prelucrare pe scară largă. Clinicile, policlinicile și rețelele de cabinete care prelucrează datele unui număr mare de pacienți trebuie să analizeze obligația din art. 37 alin. (1) lit. c).

**Pot folosi fotografii intraorale sau imagini înainte și după tratament pe site?**
Doar cu consimțământul explicit și separat al pacientului, pentru acel scop precis. Fotografiile făcute pentru planul de tratament nu pot fi reutilizate în marketing fără acest acord, iar pacientul trebuie să poată refuza fără ca tratamentul să fie afectat.

**Pot trimite rezultatele analizelor pe e-mail sau WhatsApp?**
Numai dacă pacientul a ales acest canal și ați verificat că adresa sau numărul îi aparțin. E preferabil un fișier protejat cu parolă, comunicată pe alt canal, sau un portal cu cont individual. Un rezultat trimis greșit este un incident de securitate care se evaluează pentru notificare în 72 de ore.

**Furnizorul programului medical are acces la datele pacienților. Ce trebuie să semnăm?**
Un contract de împuternicire cu clauzele din art. 28 GDPR: prelucrează datele doar la instrucțiunile cabinetului, asigură confidențialitatea și securitatea, anunță incidentele și șterge sau returnează datele la încheierea contractului.

### GDPR pentru asociații de proprietari: camere video, liste de plată și date ale locatarilor

Sursa: https://kraspdpo.ro/gdpr-pentru/asociatii-proprietari/ · actualizat 2026-11-01

Asociația de proprietari este operator de date personale: prelucrează nume, număr de persoane, consumuri și restanțe ale proprietarilor, iar adesea și imagini de pe camerele din bloc. Trebuie să aibă un temei legal pentru fiecare prelucrare, să informeze locatarii, să limiteze datele de pe avizier la ce este necesar și să aibă contract cu administratorul care lucrează cu aceste date. DPO-ul nu este, de regulă, obligatoriu pentru o asociație.

#### Ce obligații GDPR are o asociație de proprietari

Asociația de proprietari, organizată potrivit Legii 196/2018, este operator de date în sensul Regulamentului (UE) 2016/679. Ea decide ce date ale proprietarilor și chiriașilor se colectează, cum se calculează cheltuielile, ce se afișează la avizier și dacă se montează camere. Dacă nu sunteți familiarizați cu noțiunile de bază, începeți cu ghidul [ce este GDPR](https://kraspdpo.ro/ghid-gdpr/ce-este-gdpr/).

Obligațiile concrete ale asociației:

- temei legal pentru fiecare prelucrare (art. 6): de regulă obligația legală din Legea 196/2018 și interesul legitim;
- informarea proprietarilor și a locatarilor (art. 13), printr-o notă afișată la avizier și transmisă odată cu actele asociației;
- evidența prelucrărilor (art. 30), mai ales pentru că plata întreținerii înseamnă o prelucrare lunară, nu ocazională;
- contract cu clauze de împuternicire (art. 28) cu administratorul, cu firma de contorizare și cu furnizorul programului de întreținere;
- măsuri de securitate pentru dosare, calculatorul administratorului și înregistrările video (art. 32);
- răspuns la cererile persoanelor vizate (art. 15–22) și gestionarea incidentelor (art. 33–34).

DPO-ul nu este obligatoriu în mod obișnuit pentru o asociație. Obligațiile de mai sus rămân însă, iar președintele și comitetul executiv trebuie să le poată demonstra.

#### Ce date prelucrați

| Activitate | Date prelucrate | Temei legal |
|---|---|---|
| Evidența proprietarilor și a locatarilor | nume, număr de apartament, număr de persoane, cotă-parte | art. 6 alin. (1) lit. c) |
| Calculul și încasarea întreținerii | consumuri, sume datorate, plăți, penalități | art. 6 alin. (1) lit. c) |
| Afișarea listei de plată | număr de apartament, sume | art. 6 alin. (1) lit. c) |
| Recuperarea restanțelor | identificare, domiciliu, debit, uneori CNP pentru acțiunea în instanță | art. 6 alin. (1) lit. c) și f) |
| Comunicare cu locatarii | telefon, e-mail, grupuri de mesagerie | art. 6 alin. (1) lit. f) sau a) |
| Supraveghere video în spațiile comune | imaginea locatarilor și a vizitatorilor | art. 6 alin. (1) lit. f) |
| Acces cu cartelă sau interfon | codul de acces, istoricul intrărilor | art. 6 alin. (1) lit. f) |
| Angajați (administrator, personal de curățenie) | dosar de personal, salariu | art. 6 alin. (1) lit. b) și c) |

#### Camere video în bloc

Camerele din scară, lift, parcare sau la intrare sunt cea mai sensibilă prelucrare dintr-o asociație, pentru că filmează zilnic aceiași oameni în jurul casei lor. Pentru a le folosi corect:

- decizia se ia în adunarea generală și se consemnează în procesul-verbal, împreună cu scopul (de exemplu, prevenirea furturilor și a vandalismului);
- camerele acoperă doar spațiile comune, nu ușile sau interiorul apartamentelor, balcoanele vecinilor ori strada dincolo de ce este necesar;
- la intrarea în bloc se afișează semnul de supraveghere video și datele asociației;
- se stabilește în scris cine are acces la înregistrări, de regulă una sau două persoane;
- imaginile se șterg automat după un termen scurt; dacă există un incident, fragmentul relevant se păstrează și se predă poliției;
- înregistrările nu se publică în grupul blocului și nu se folosesc pentru certuri între vecini.

Dacă asociația are angajați filmați la locul de muncă, se aplică și art. 5 din Legea 190/2018. Detalii în ghidul despre [supravegherea video conform GDPR](https://kraspdpo.ro/ghid-gdpr/gdpr-supraveghere-video/).

#### Lista de plată la avizier

Lista de plată informează proprietarii despre cheltuieli și trebuie adusă la cunoștința lor, de regulă prin afișare la avizier. Din perspectiva GDPR, conținutul listei trebuie limitat la ce este necesar (art. 5 alin. (1) lit. c)):

- identificarea se face prin numărul apartamentului;
- se afișează sumele, fără CNP-uri, numere de telefon sau motive personale ale restanțelor;
- nu se fac liste separate de restanțieri cu comentarii, poze sau apelative;
- listele vechi se scot de la avizier la afișarea celor noi;
- dacă lista este trimisă și electronic, se trimite doar proprietarilor, nu în grupuri publice.

#### Greșeli frecvente

- camere montate de un vecin „care se pricepe”, cu imagini accesibile de pe telefonul lui;
- grupuri de mesagerie ale blocului în care se publică datoriile și numele restanțierilor;
- dosare cu copii după acte de proprietate păstrate acasă la președinte, fără nicio protecție;
- administrator fără contract scris care să spună ce face cu datele;
- date ale foștilor proprietari păstrate ani de zile fără motiv.

#### Cum vă putem ajuta

Pentru o asociație de proprietari, de multe ori ajunge o [consultanță GDPR pentru asociație](https://kraspdpo.ro/servicii/consultanta-gdpr/): verificăm camerele, lista de plată, contractul cu administratorul și răspundem la întrebările comitetului. Dacă asociația nu are niciun document, facem [implementarea GDPR](https://kraspdpo.ro/servicii/implementare-gdpr/): nota de informare pentru locatari, procedura pentru camere și [registrul evidenței prelucrărilor](https://kraspdpo.ro/servicii/registru-evidenta-prelucrari/).

Fondatorul firmei are 23 de ani de experiență, dintre care 14 în securitate, și este manager de securitate certificat și evaluator de risc la securitatea fizică, înscris în registrul național. Poziționarea camerelor și accesul în clădire țin exact de acest domeniu. Venim la sediu în Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța; cu asociațiile din restul țării lucrăm online.

#### Cât costă

Pentru organizațiile cu sub 40 de angajați, abonamentul este 1.500 lei pe trimestru, preț final, deoarece firma nu este plătitoare de TVA. Pentru detalii și pentru o discuție despre situația asociației dumneavoastră, consultați pagina de [prețuri](https://kraspdpo.ro/preturi/) sau [contactați-ne](https://kraspdpo.ro/contact/).

#### Întrebări frecvente

**Are voie asociația să monteze camere video în scara blocului?**
Da, pentru siguranța bunurilor și a persoanelor, dacă decizia este luată și documentată în adunarea generală, camerele filmează doar spațiile comune, există semnalizare la intrare, accesul la imagini este limitat la persoane desemnate, iar imaginile se șterg după un termen scurt stabilit în prealabil.

**Pot afișa la avizier numele restanțierilor?**
Lista de plată se afișează, dar e bine să conțină doar ce este necesar: numărul apartamentului și sumele datorate. Nu se afișează CNP-uri, numere de telefon, comentarii jignitoare sau liste separate de tip „rău-platnici”. Recuperarea restanțelor se face prin notificări individuale și, la nevoie, în instanță.

**Asociația de proprietari trebuie să aibă DPO?**
De regulă, nu. Asociația nu este autoritate publică, iar activitatea ei principală nu constă în monitorizarea pe scară largă a persoanelor sau în prelucrarea pe scară largă a datelor sensibile. Celelalte obligații din GDPR se aplică însă integral.

**Administratorul blocului poate da datele locatarilor altor persoane?**
Nu, în afara situațiilor prevăzute de lege, de exemplu la cererea unei instanțe sau a unei autorități cu temei legal. Administratorul lucrează cu datele în numele asociației, iar contractul cu el trebuie să conțină clauzele din art. 28 GDPR.

**Un proprietar poate cere să vadă înregistrarea în care apare?**
Da. Art. 15 GDPR îi dă dreptul de acces la datele proprii, inclusiv la imaginile în care apare. Asociația trebuie să răspundă în cel mult o lună și să acopere imaginile altor persoane din înregistrare.

## Ghid GDPR

Sursa: https://kraspdpo.ro/ghid-gdpr/

### Amenzi GDPR și sancțiuni ANSPDCP: cât riscă firmele și autoritățile publice

Sursa: https://kraspdpo.ro/ghid-gdpr/amenzi-gdpr-anspdcp/ · autor: Gabriel Crăciunică, KRASP DPO · publicat 2026-09-30, actualizat 2026-09-30

GDPR prevede două plafoane de amendă: până la 10 milioane euro sau 2% din cifra de afaceri anuală mondială pentru încălcarea obligațiilor organizatorice și până la 20 milioane euro sau 4% pentru încălcarea principiilor, a temeiurilor legale și a drepturilor persoanelor, aplicându-se valoarea mai mare. Cuantumul concret se stabilește după criteriile din art. 83 alin. (2). În România, autoritățile și organismele publice primesc mai întâi avertisment cu plan de remediere, iar amenda, de la 10.000 la 100.000 lei sau până la 200.000 lei, se poate aplica ulterior, potrivit Legii 190/2018.

#### Cât de mari pot fi amenzile GDPR?

Art. 83 din GDPR stabilește două plafoane maxime. Pentru întreprinderi se ia în calcul valoarea mai mare dintre suma fixă și procentul din cifra de afaceri mondială anuală totală a exercițiului financiar anterior.

| Nivel | Plafon maxim | Pentru ce tip de încălcări | Temei |
|---|---|---|---|
| Nivelul 1 | 10.000.000 euro sau 2% din cifra de afaceri | Obligațiile operatorului și ale persoanei împuternicite: registru, securitate, notificarea incidentelor, DPIA, DPO, contracte cu împuterniciții | art. 83 alin. (4) |
| Nivelul 2 | 20.000.000 euro sau 4% din cifra de afaceri | Principiile de bază, temeiurile legale, consimțământul, datele sensibile, drepturile persoanelor, transferurile internaționale | art. 83 alin. (5) |
| Nivelul 2 | 20.000.000 euro sau 4% din cifra de afaceri | Nerespectarea unui ordin al autorității de supraveghere | art. 83 alin. (6) |

Acestea sunt plafoane, nu tarife. Amenda concretă poate fi mult mai mică și se stabilește de la caz la caz. Art. 83 alin. (1) cere doar ca amenzile să fie eficace, proporționale și disuasive.

#### Pentru ce se aplică fiecare plafon?

Plafonul de 10 milioane euro sau 2% (art. 83 alin. 4) acoperă încălcările obligațiilor prevăzute, printre altele, la art. 8 și 11 și la art. 25–39. Practic, sunt obligațiile de organizare a conformității:

- protecția datelor începând cu momentul conceperii și în mod implicit (art. 25);
- contractele cu persoanele împuternicite (art. 28);
- [registrul evidenței prelucrărilor](https://kraspdpo.ro/servicii/registru-evidenta-prelucrari/) (art. 30);
- securitatea prelucrării (art. 32);
- notificarea și comunicarea încălcărilor securității datelor (art. 33–34);
- evaluarea impactului (art. 35–36);
- desemnarea, poziția și sarcinile DPO (art. 37–39).

Plafonul de 20 milioane euro sau 4% (art. 83 alin. 5) acoperă încălcările de fond:

- principiile de bază, inclusiv condițiile pentru consimțământ (art. 5, 6, 7 și 9);
- drepturile persoanelor vizate (art. 12–22);
- transferurile de date către țări terțe (art. 44–49);
- obligațiile din legislația națională adoptată în temeiul capitolului IX;
- nerespectarea unui ordin sau a unei limitări impuse de autoritate ori refuzul de a permite accesul autorității (art. 58).

#### Cum stabilește ANSPDCP cuantumul amenzii?

Cuantumul se stabilește în fiecare caz după criteriile din art. 83 alin. (2). Autoritatea analizează:

1. natura, gravitatea și durata încălcării, ținând cont de scopul prelucrării, numărul persoanelor afectate și nivelul prejudiciului;
2. dacă încălcarea a fost comisă intenționat sau din neglijență;
3. măsurile luate pentru a reduce prejudiciul suferit de persoane;
4. gradul de responsabilitate, ținând cont de măsurile tehnice și organizatorice aplicate conform art. 25 și 32;
5. eventualele încălcări anterioare relevante;
6. gradul de cooperare cu autoritatea pentru remedierea încălcării;
7. categoriile de date afectate;
8. modul în care autoritatea a aflat de încălcare, în special dacă operatorul a notificat-o;
9. respectarea măsurilor dispuse anterior pentru același obiect;
10. aderarea la coduri de conduită sau mecanisme de certificare;
11. alți factori agravanți sau atenuanți, cum ar fi beneficiile financiare obținute sau pierderile evitate.

Dacă aceeași operațiune sau operațiuni legate încalcă mai multe prevederi, valoarea totală a amenzii nu poate depăși plafonul pentru încălcarea cea mai gravă (art. 83 alin. 3). La nivel european, Comitetul European pentru Protecția Datelor a adoptat orientări privind calcularea amenzilor administrative, pentru a apropia practica autorităților naționale.

Criteriile de la punctele 3, 4, 6 și 8 depind direct de ce faceți înainte și după o problemă. O organizație cu documentație, măsuri de securitate demonstrabile și un incident notificat la timp se află în altă poziție decât una care nu poate arăta nimic.

#### Aplică ANSPDCP doar amenzi?

Nu. Amenda este una dintre măsurile corective prevăzute la art. 58 alin. (2) și poate fi aplicată în plus sau în locul celorlalte măsuri.

| Măsură corectivă | Art. 58 alin. (2) |
|---|---|
| Avertisment privind operațiuni de prelucrare preconizate care pot încălca GDPR | lit. a) |
| Mustrare, când prelucrarea a încălcat deja GDPR | lit. b) |
| Ordin de a da curs cererilor persoanei vizate | lit. c) |
| Ordin de a pune prelucrarea în conformitate, eventual într-un termen stabilit | lit. d) |
| Ordin de a informa persoanele vizate despre o încălcare a securității datelor | lit. e) |
| Limitare temporară sau definitivă, inclusiv interdicția prelucrării | lit. f) |
| Ordin de rectificare, ștergere sau restricționare a datelor | lit. g) |
| Retragerea unei certificări | lit. h) |
| Amendă administrativă | lit. i) |
| Suspendarea transferurilor către țări terțe | lit. j) |

Pentru multe organizații, un ordin de interzicere a unei prelucrări, de exemplu a sistemului de supraveghere video sau a unei baze de date de marketing, poate avea un impact operațional mai mare decât amenda.

#### Ce sancțiuni riscă primăriile și instituțiile publice?

Art. 83 alin. (7) din GDPR lasă statelor membre libertatea de a stabili dacă și în ce măsură se aplică amenzi autorităților publice. România a folosit această posibilitate prin art. 13–14 din Legea 190/2018, care prevăd un regim în două etape:

1. **Avertisment și plan de remediere.** La constatarea unei încălcări, ANSPDCP încheie un proces-verbal prin care aplică sancțiunea avertismentului și anexează un plan de remediere. Termenul de remediere se stabilește în funcție de riscurile prelucrării și de demersurile necesare.
2. **Amendă, dacă măsurile nu sunt îndeplinite.** După expirarea termenului, autoritatea poate relua controlul. Dacă planul nu a fost pus în aplicare, se poate aplica amenda.

Limitele amenzilor pentru autoritățile și organismele publice sunt:

| Tipul încălcării | Amendă | Temei |
|---|---|---|
| Încălcări de tipul celor din art. 83 alin. (4) GDPR | 10.000 – 100.000 lei | art. 14 din Legea 190/2018 |
| Încălcări de tipul celor din art. 83 alin. (5) și (6) GDPR | 10.000 – 200.000 lei | art. 14 din Legea 190/2018 |

Avertismentul nu trebuie tratat ca o formalitate. Planul de remediere devine o listă de obligații cu termen, iar neîndeplinirea lui deschide calea amenzii. Situația specifică a administrației locale este tratată în pagina despre [conformitatea GDPR în primării](https://kraspdpo.ro/gdpr-pentru/primarii/).

#### De unde pornesc, de obicei, controalele ANSPDCP?

Un control ANSPDCP poate porni din mai multe surse, iar organizația nu alege momentul. Cele mai frecvente căi sunt:

- **plângerea unei persoane vizate** (art. 77), de exemplu un angajat nemulțumit de camerele video sau un cetățean care nu a primit răspuns la o cerere de acces;
- **notificarea unei încălcări a securității datelor** făcută chiar de organizație (art. 33), care poate fi urmată de verificări;
- **investigații din oficiu**, inclusiv controale tematice pe anumite sectoare.

Procesul-verbal de constatare și sancționare poate fi contestat în instanță, în condițiile legii. În practică însă, argumentul cel mai solid în fața autorității rămâne documentația întocmită înainte de control.

#### Ce alte consecințe poate avea o încălcare GDPR?

Pe lângă măsurile ANSPDCP, orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări are dreptul la despăgubiri din partea operatorului sau a persoanei împuternicite (art. 82). Acțiunea se introduce în instanță și este independentă de sancțiunea administrativă.

Se adaugă costurile de remediere, timpul pierdut de conducere și impactul asupra încrederii cetățenilor sau clienților.

#### Unde găsiți deciziile și comunicatele ANSPDCP?

ANSPDCP publică pe site-ul oficial [dataprotection.ro](https://www.dataprotection.ro/) comunicate de presă despre sancțiunile aplicate, rapoarte anuale de activitate, ghiduri și formulare. Comunicatele sunt utile pentru a înțelege ce tipuri de încălcări sunt sancționate frecvent și ce măsuri a dispus autoritatea. Textul complet al art. 83 poate fi consultat în [Regulamentul (UE) 2016/679 pe EUR-Lex](https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32016R0679).

#### Cum reduceți riscul de sancțiune?

Riscul se reduce prin aceleași măsuri pe care autoritatea le evaluează conform art. 83 alin. (2):

1. țineți un registru al prelucrărilor actualizat și documentele de bază, conform [listei documentelor GDPR obligatorii](https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/);
2. informați corect persoanele vizate și răspundeți la cereri în termenul de o lună;
3. aplicați și documentați măsuri de securitate adecvate (art. 32);
4. aveți o procedură pentru incidente și respectați [termenul de 72 de ore pentru notificarea ANSPDCP](https://kraspdpo.ro/ghid-gdpr/incident-securitate-date-72-ore/);
5. instruiți periodic personalul care lucrează cu date;
6. dacă sunteți obligat, desemnați un DPO și implicați-l efectiv.

#### Cum vă putem ajuta

KRASP DPO S.R.L. lucrează din 2018 cu primării, agenții județene și firme private din Călărași și din alte județe. Un [audit GDPR](https://kraspdpo.ro/servicii/audit-gdpr/) identifică încălcările înainte să le identifice autoritatea și vă dă un plan de remediere cu priorități. Dacă ați primit deja un avertisment sau un plan de remediere, vă putem sprijini în punerea lui în aplicare, iar prin serviciul de [DPO extern](https://kraspdpo.ro/servicii/dpo-extern/) urmărim conformitatea continuu, nu doar la control. Ne puteți contacta la 0735 77 66 73.

#### Întrebări frecvente

**Care este amenda maximă GDPR?**
Până la 20 de milioane de euro sau, pentru întreprinderi, până la 4% din cifra de afaceri mondială anuală totală a exercițiului financiar anterior, luându-se în calcul valoarea cea mai mare (art. 83 alin. 5 și 6). Pentru încălcarea obligațiilor organizatorice, plafonul este de 10 milioane de euro sau 2% (art. 83 alin. 4).

**Poate ANSPDCP să amendeze o primărie?**
Da, dar după o procedură specială prevăzută de Legea 190/2018. La constatarea unei încălcări, autoritatea sau organismul public primește avertisment și un plan de remediere cu termen. Dacă măsurile nu sunt îndeplinite, se poate aplica amendă de la 10.000 la 100.000 lei sau, pentru încălcările cele mai grave, de la 10.000 la 200.000 lei.

**Primește o firmă mică direct amendă sau mai întâi avertisment?**
Pentru operatorii privați, GDPR nu impune o etapă obligatorie de avertisment. ANSPDCP poate aplica, după caz, o mustrare, un ordin de conformare, o amendă sau o combinație a acestora, în funcție de criteriile din art. 83 alin. (2), cum ar fi gravitatea, durata, intenția sau neglijența și gradul de cooperare.

**Unde pot vedea sancțiunile aplicate de ANSPDCP?**
ANSPDCP publică pe site-ul său oficial, dataprotection.ro, comunicate privind sancțiunile aplicate și rapoarte anuale de activitate.

**În afară de amendă, ce alte consecințe poate avea o încălcare GDPR?**
Autoritatea poate dispune măsuri corective, inclusiv limitarea sau interzicerea prelucrării (art. 58 alin. 2). Persoanele afectate pot cere în instanță despăgubiri pentru prejudiciul material sau moral (art. 82).

### Ce este GDPR? Regulamentul (UE) 2016/679 explicat pe înțelesul tuturor

Sursa: https://kraspdpo.ro/ghid-gdpr/ce-este-gdpr/ · autor: Gabriel Crăciunică, KRASP DPO · publicat 2026-09-30, actualizat 2026-09-30

GDPR este Regulamentul (UE) 2016/679, aplicabil direct în România din 25 mai 2018, care stabilește regulile pentru prelucrarea datelor despre persoane fizice. Se aplică oricărei organizații care folosește astfel de date, indiferent de mărime, și cere ca fiecare prelucrare să aibă un temei legal, un scop clar și măsuri de securitate. În România este completat de Legea nr. 190/2018, iar respectarea lui este verificată de ANSPDCP.

#### Ce este GDPR, pe scurt?

GDPR este Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016, privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date. Se aplică direct în România și în toate statele membre din 25 mai 2018, fără să fie nevoie de o lege de transpunere. Denumirea vine din engleză: General Data Protection Regulation, adică Regulamentul general privind protecția datelor.

Pe înțelesul tuturor, GDPR stabilește ce aveți voie să faceți cu informațiile despre oameni, pe ce temei, cât timp le puteți păstra, cum trebuie protejate și ce drepturi au acei oameni față de organizația dumneavoastră. Regulamentul nu interzice folosirea datelor. Cere ca fiecare prelucrare să aibă un scop clar, un temei legal și măsuri de securitate adecvate, iar organizația să poată dovedi toate acestea.

GDPR a abrogat Directiva 95/46/CE, iar în România vechea Lege nr. 677/2001 a fost abrogată în 2018. Textul oficial în limba română se găsește pe [EUR-Lex, portalul legislației Uniunii Europene](https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32016R0679).

#### Ce înseamnă „date cu caracter personal”?

Datele cu caracter personal sunt, conform art. 4 pct. 1 din GDPR, orice informații privind o persoană fizică identificată sau identificabilă, numită „persoană vizată”. O persoană este identificabilă dacă poate fi recunoscută direct sau indirect, prin nume, număr de identificare, date de localizare, identificator online sau prin elemente proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale ori sociale.

Exemple concrete: numele și prenumele, CNP-ul, adresa, numărul de telefon, adresa de e-mail de tipul nume.prenume@firma.ro, imaginea unei persoane dintr-o înregistrare video, numărul de înmatriculare asociat unui proprietar, adresa IP, datele din fișa medicală sau din dosarul de personal.

Nu sunt date personale, în sensul GDPR:

- datele despre persoane juridice, cum ar fi denumirea firmei sau CUI-ul (considerentul 14);
- datele cu adevărat anonimizate, din care persoana nu mai poate fi identificată prin mijloace rezonabile (considerentul 26);
- datele persoanelor decedate (considerentul 27), cu mențiunea că statele membre pot adopta reguli proprii.

Datele pseudonimizate, de exemplu un cod în locul numelui, rămân date personale dacă legătura cu persoana poate fi refăcută.

##### Care sunt termenii-cheie din art. 4?

| Termen | Ce înseamnă | Temei |
|---|---|---|
| Prelucrare | Orice operațiune cu date: colectare, înregistrare, stocare, consultare, transmitere, ștergere, distrugere | art. 4 pct. 2 |
| Operator | Cel care stabilește scopurile și mijloacele prelucrării (firma, primăria, școala) | art. 4 pct. 7 |
| Persoană împuternicită | Cel care prelucrează date în numele operatorului (contabilitate externă, firmă IT, furnizor cloud) | art. 4 pct. 8 |
| Consimțământ | Manifestare de voință liberă, specifică, informată și lipsită de ambiguitate | art. 4 pct. 11 |
| Încălcarea securității datelor | Distrugerea, pierderea, modificarea, divulgarea sau accesul neautorizat la date | art. 4 pct. 12 |
| Categorii speciale de date | Origine rasială sau etnică, opinii politice, convingeri religioase, apartenență sindicală, date genetice, biometrice, de sănătate, viață sexuală | art. 9 alin. (1) |

#### Cui se aplică GDPR?

GDPR se aplică oricărei organizații care prelucrează date personale total sau parțial automatizat, precum și prelucrărilor manuale ale datelor care fac parte dintr-un sistem de evidență, de exemplu un dosar organizat pe nume (art. 2 alin. 1). Nu există prag de cifră de afaceri sau de număr de angajați. Regulamentul se aplică la fel unei multinaționale, unei primării, unei școli, unui cabinet medical, unui PFA sau unei asociații de proprietari.

Există câteva excepții, dintre care cea mai importantă în practică este activitatea exclusiv personală sau domestică a unei persoane fizice (art. 2 alin. 2 lit. c), de exemplu agenda de telefon personală. Prelucrările făcute de autoritățile competente pentru prevenirea și urmărirea infracțiunilor sunt reglementate separat, prin Directiva (UE) 2016/680.

Din punct de vedere teritorial (art. 3), GDPR se aplică organizațiilor stabilite în Uniune și celor din afara Uniunii care oferă bunuri sau servicii persoanelor din Uniune ori le monitorizează comportamentul.

Unele obligații sunt modulate în funcție de risc. De exemplu, art. 30 alin. (5) scutește de registrul prelucrărilor organizațiile sub 250 de angajați, dar numai dacă prelucrarea nu prezintă risc, este ocazională și nu include categorii speciale de date. Cum salarizarea este o prelucrare permanentă, excepția se aplică rar. Detaliem acest aspect în [ghidul despre documentele GDPR obligatorii](https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/).

#### Care sunt cele 7 principii ale GDPR?

Art. 5 din GDPR stabilește șase principii la alin. (1) și un al șaptelea, responsabilitatea, la alin. (2). Orice prelucrare trebuie să le respecte pe toate:

1. **Legalitate, echitate și transparență.** Datele se prelucrează pe un temei legal, corect și cu informarea persoanei.
2. **Limitări legate de scop.** Datele se colectează pentru scopuri determinate, explicite și legitime și nu se folosesc ulterior în mod incompatibil cu acestea.
3. **Reducerea la minimum a datelor.** Colectați doar ce este necesar pentru scop.
4. **Exactitate.** Datele trebuie să fie corecte și, unde este cazul, actualizate.
5. **Limitări legate de stocare.** Datele se păstrează doar cât este necesar scopului.
6. **Integritate și confidențialitate.** Datele sunt protejate împotriva accesului neautorizat, pierderii sau distrugerii.
7. **Responsabilitate.** Operatorul răspunde de respectarea principiilor și trebuie să o poată demonstra.

Al șaptelea principiu explică de ce GDPR înseamnă și documente: dacă nu puteți dovedi că respectați regulile, pentru autoritatea de control este ca și cum nu le-ați respecta.

#### Pe ce temei legal puteți prelucra date personale?

O prelucrare este legală doar dacă se sprijină pe cel puțin unul dintre cele șase temeiuri de la art. 6 alin. (1). Temeiul se stabilește înainte de a începe prelucrarea și se comunică persoanei vizate.

| Temei (art. 6 alin. 1) | Când se folosește | Exemplu |
|---|---|---|
| a) Consimțământ | Persoana acceptă liber, pentru un scop specific | Newsletter, fotografii publicate pe site |
| b) Executarea unui contract | Datele sunt necesare contractului cu persoana | Livrarea unei comenzi, contractul de muncă |
| c) Obligație legală | O lege impune prelucrarea | Declarații fiscale, registrul salariaților |
| d) Interese vitale | Protejarea vieții unei persoane | Urgență medicală |
| e) Interes public sau autoritate publică | Sarcini ale instituțiilor publice | Emiterea actelor de către primărie |
| f) Interes legitim | Interes al operatorului care nu este depășit de drepturile persoanei | Supraveghere video pentru securitatea bunurilor |

Două nuanțe importante. Autoritățile publice nu pot invoca interesul legitim pentru prelucrările efectuate în îndeplinirea atribuțiilor lor (art. 6 alin. 1, ultimul paragraf). Iar pentru categoriile speciale de date, cum ar fi datele de sănătate, este nevoie, pe lângă temeiul din art. 6, și de o condiție din art. 9 alin. (2).

Consimțământul nu este soluția universală. Dacă aveți deja o obligație legală sau un contract, consimțământul este inutil și chiar derutant, pentru că persoana îl poate retrage oricând.

#### Ce drepturi au persoanele vizate?

Persoanele ale căror date le prelucrați au drepturile prevăzute la art. 15–22, iar organizația trebuie să răspundă la cereri fără întârzieri nejustificate și în cel mult o lună, termen care poate fi prelungit cu două luni pentru cereri complexe sau numeroase (art. 12 alin. 3). Răspunsul este, de regulă, gratuit.

| Drept | Articol | Pe scurt |
|---|---|---|
| Dreptul de acces | art. 15 | Persoana află ce date aveți despre ea și primește o copie |
| Dreptul la rectificare | art. 16 | Corectarea datelor inexacte |
| Dreptul la ștergere („dreptul de a fi uitat”) | art. 17 | Ștergerea datelor, în condițiile prevăzute de lege |
| Dreptul la restricționarea prelucrării | art. 18 | „Înghețarea” datelor pe durata unei verificări |
| Notificarea destinatarilor | art. 19 | Comunicarea rectificării sau ștergerii către cei cărora le-ați transmis datele |
| Dreptul la portabilitate | art. 20 | Primirea datelor într-un format structurat, pentru prelucrări pe bază de consimțământ sau contract, automatizate |
| Dreptul la opoziție | art. 21 | Opoziția față de prelucrări pe bază de interes legitim sau public; absolută pentru marketing direct |
| Decizii automatizate | art. 22 | Dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată, cu efecte juridice |

Pe lângă acestea, persoanele au dreptul să fie informate la colectarea datelor (art. 13–14), să depună plângere la autoritatea de supraveghere (art. 77) și să ceară despăgubiri pentru prejudiciul suferit (art. 82).

#### Ce rol are Legea 190/2018 în România?

Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 completează GDPR în punctele în care regulamentul lasă statelor membre libertatea de a reglementa. Ea nu înlocuiește GDPR și nu reia toate regulile acestuia.

Prevederile cele mai relevante pentru organizațiile din România:

- **art. 3** – condiții pentru prelucrarea datelor genetice, biometrice și de sănătate în scopul deciziilor automatizate sau al creării de profiluri;
- **art. 4** – prelucrarea CNP-ului; când se face în temeiul interesului legitim, operatorul trebuie să instituie garanții, printre care desemnarea unui responsabil cu protecția datelor;
- **art. 5** – monitorizarea angajaților prin comunicații electronice sau camere video, inclusiv limita de 30 de zile pentru stocare, explicată în [ghidul despre supravegherea video și GDPR](https://kraspdpo.ro/ghid-gdpr/gdpr-supraveghere-video/);
- **art. 13–14** – regimul special de sancționare a autorităților și organismelor publice: avertisment cu plan de remediere, apoi amendă.

#### Ce este ANSPDCP și ce poate face?

ANSPDCP, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, este autoritatea de supraveghere din România în sensul art. 51 din GDPR, organizată prin Legea nr. 102/2005. Ea verifică aplicarea GDPR, primește plângerile persoanelor vizate, primește notificările privind încălcarea securității datelor și datele de contact ale responsabililor cu protecția datelor.

Conform art. 58 din GDPR, ANSPDCP are puteri de investigare (controale, solicitări de informații, acces la spații și documente), puteri corective (avertismente, mustrări, ordine de conformare, limitarea sau interzicerea prelucrării) și poate aplica amenzi. Plafoanele și criteriile de calcul sunt explicate în [ghidul despre amenzile GDPR și ANSPDCP](https://kraspdpo.ro/ghid-gdpr/amenzi-gdpr-anspdcp/). Informațiile oficiale, ghidurile și comunicatele autorității sunt publicate pe [dataprotection.ro](https://www.dataprotection.ro/).

#### Cum vă putem ajuta

KRASP DPO S.R.L. din Călărași lucrează din 2018 cu primării, agenții județene și firme private pentru aplicarea concretă a GDPR. Dacă nu știți de unde să începeți, o [evaluare inițială a conformității GDPR](https://kraspdpo.ro/servicii/evaluare-conformitate-gdpr/) arată ce aveți deja și ce lipsește. Pentru construirea documentației și a procedurilor oferim [implementare GDPR pas cu pas](https://kraspdpo.ro/servicii/implementare-gdpr/), iar pentru organizațiile care trebuie sau vor să aibă un responsabil desemnat, serviciul de [DPO extern](https://kraspdpo.ro/servicii/dpo-extern/). Aflați dacă desemnarea este obligatorie pentru dumneavoastră din [ghidul despre cine are nevoie de DPO](https://kraspdpo.ro/ghid-gdpr/cine-are-nevoie-de-dpo/) sau sunați-ne la 0735 77 66 73.

#### Întrebări frecvente

**Ce înseamnă GDPR?**
GDPR este prescurtarea denumirii în engleză General Data Protection Regulation, adică Regulamentul general privind protecția datelor, Regulamentul (UE) 2016/679. Se aplică direct în toate statele membre ale Uniunii Europene din 25 mai 2018.

**Ce sunt datele cu caracter personal?**
Conform art. 4 pct. 1 din GDPR, sunt orice informații privind o persoană fizică identificată sau identificabilă, direct sau indirect: nume, CNP, adresă, telefon, e-mail nominal, imagine video, date de localizare, identificatori online sau date despre sănătate.

**Se aplică GDPR și firmelor mici sau PFA-urilor?**
Da. GDPR nu are un prag de mărime: se aplică oricărei entități care prelucrează date personale în alt scop decât cel exclusiv personal sau domestic. Unele obligații sunt însă modulate în funcție de risc, de exemplu excepția limitată de la registrul prevăzută la art. 30 alin. (5).

**Care este legea română care completează GDPR?**
Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679. Ea reglementează, printre altele, prelucrarea CNP-ului, monitorizarea angajaților prin camere video sau mijloace electronice și regimul sancțiunilor pentru autoritățile și organismele publice.

**Cine verifică respectarea GDPR în România?**
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), care primește plângeri, notificări de încălcare a securității datelor, efectuează controale și aplică măsuri corective și amenzi.

### Cine are nevoie de DPO? Când este obligatoriu responsabilul cu protecția datelor

Sursa: https://kraspdpo.ro/ghid-gdpr/cine-are-nevoie-de-dpo/ · autor: Gabriel Crăciunică, KRASP DPO · publicat 2026-09-30, actualizat 2026-09-30

Desemnarea unui responsabil cu protecția datelor (DPO) este obligatorie în trei situații prevăzute de art. 37 alin. (1) GDPR: pentru autoritățile și organismele publice, pentru organizațiile a căror activitate principală presupune monitorizarea periodică și sistematică pe scară largă a persoanelor și pentru cele care prelucrează pe scară largă date sensibile sau date penale. În România, Legea 190/2018 cere în plus un DPO operatorilor care prelucrează CNP-ul în temeiul interesului legitim, iar DPO poate fi angajat propriu sau extern, pe bază de contract de servicii.

#### Cine are nevoie de DPO, pe scurt?

Un responsabil cu protecția datelor (DPO, din engleză Data Protection Officer) este obligatoriu în trei situații, prevăzute de art. 37 alin. (1) din GDPR:

1. **lit. a)** prelucrarea este efectuată de o autoritate sau un organism public, cu excepția instanțelor care acționează în exercitarea funcției lor judiciare;
2. **lit. b)** activitățile principale ale operatorului sau ale persoanei împuternicite constau în operațiuni care, prin natura, domeniul de aplicare sau scopurile lor, necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă;
3. **lit. c)** activitățile principale constau în prelucrarea pe scară largă a categoriilor speciale de date (art. 9) sau a datelor privind condamnări penale și infracțiuni (art. 10).

La acestea se adaugă, în România, art. 4 din Legea 190/2018: operatorul care prelucrează CNP-ul în temeiul interesului legitim trebuie să instituie garanții, printre care numirea unui responsabil cu protecția datelor. În afara acestor situații, desemnarea unui DPO este voluntară (art. 37 alin. 4), dar rămâne o măsură utilă pentru a demonstra responsabilitatea cerută de art. 5 alin. (2).

Obligația se aplică și persoanelor împuternicite, nu doar operatorilor. O firmă care prelucrează date în numele clienților poate avea ea însăși obligația de a desemna DPO.

#### Ce înseamnă art. 37 alin. (1) lit. a) pentru instituțiile publice?

Orice autoritate sau organism public trebuie să aibă DPO, indiferent de mărime sau de volumul datelor. Criteriul este natura juridică a entității, nu riscul prelucrării.

Intră aici, de exemplu: primăriile și consiliile locale, consiliile județene, agențiile și direcțiile județene, serviciile publice deconcentrate, unitățile de învățământ de stat, spitalele publice, direcțiile de asistență socială. Pentru specificul acestor entități puteți consulta paginile noastre despre [GDPR în primării](https://kraspdpo.ro/gdpr-pentru/primarii/) și [GDPR în instituțiile publice](https://kraspdpo.ro/gdpr-pentru/institutii-publice/).

Art. 37 alin. (3) permite ca mai multe autorități sau organisme publice să desemneze un singur DPO comun, ținând cont de structura organizatorică și de dimensiunea lor. Condiția practică este ca DPO să poată îndeplini efectiv sarcinile pentru fiecare dintre ele.

#### Ce înseamnă „monitorizare periodică și sistematică pe scară largă” (lit. b)?

Lit. b) se aplică atunci când monitorizarea persoanelor este chiar activitatea principală a organizației, nu o activitate auxiliară. Trebuie îndeplinite simultan trei condiții: activitate principală, monitorizare periodică și sistematică, scară largă.

- **Activitate principală** înseamnă operațiunile esențiale pentru atingerea obiectivelor organizației (considerentul 97). Salarizarea, suportul IT sau supravegherea video a sediului sunt activități auxiliare pentru aproape orice firmă.
- **Monitorizare periodică și sistematică** înseamnă urmărirea continuă sau recurentă, organizată metodic. Exemple date de Grupul de lucru Articolul 29 în ghidul privind DPO: operarea unei rețele de telecomunicații, profilarea pentru evaluarea riscului de credit sau stabilirea primelor de asigurare, programe de fidelizare, urmărirea locației prin aplicații mobile, publicitate comportamentală, monitorizarea prin dispozitive conectate.
- **Scară largă** nu are un prag numeric în GDPR. Se apreciază după numărul persoanelor vizate, volumul și varietatea datelor, durata prelucrării și întinderea geografică.

#### Ce înseamnă prelucrarea pe scară largă a datelor sensibile (lit. c)?

Lit. c) se aplică organizațiilor a căror activitate principală este prelucrarea pe scară largă a datelor de sănătate, genetice, biometrice sau a altor categorii din art. 9, ori a datelor privind condamnări penale. Un spital sau o rețea de clinici se încadrează clar aici, pentru că prelucrarea datelor medicale este inseparabilă de activitatea lor.

Considerentul 91 al GDPR precizează că prelucrarea datelor pacienților sau clienților de către un medic individual, un alt profesionist din domeniul sănătății sau un avocat nu ar trebui considerată ca fiind pe scară largă. De aceea un cabinet medical individual nu are, de regulă, obligația de a desemna DPO, deși trebuie să respecte toate celelalte reguli. Detalii în pagina despre [GDPR pentru cabinete medicale](https://kraspdpo.ro/gdpr-pentru/cabinete-medicale/).

#### Ce organizații sunt obligate să aibă DPO? Tabel orientativ

Tabelul de mai jos este orientativ. Încadrarea finală depinde de activitățile concrete ale organizației și trebuie documentată.

| Tip de organizație | DPO obligatoriu? | De ce |
|---|---|---|
| Primărie, consiliu local, consiliu județean | Da | Autoritate publică, art. 37 alin. (1) lit. a) |
| Agenție, direcție sau serviciu public județean | Da | Organism public, art. 37 alin. (1) lit. a) |
| Școală sau grădiniță de stat | Da | Unitate publică, art. 37 alin. (1) lit. a) |
| Spital public | Da | Lit. a) și, în plus, lit. c) |
| Clinică privată sau laborator cu volum mare de pacienți | De regulă, da | Date de sănătate pe scară largă, lit. c) |
| Cabinet medical individual | De regulă, nu | Considerentul 91 |
| Bancă, IFN, asigurător, operator de telecomunicații | De regulă, da | Monitorizare sistematică pe scară largă, lit. b) |
| Firmă de pază cu dispecerat de monitorizare video | Adesea, da | Monitorizarea este activitate principală, lit. b) |
| IMM obișnuit: magazin, service, firmă de construcții | De regulă, nu | Salarizarea și camerele video sunt activități auxiliare |
| Firmă care prelucrează CNP-ul pe temei de interes legitim | Da | Art. 4 din Legea 190/2018 |
| Asociație de proprietari | De regulă, nu | Nu este autoritate publică, prelucrările nu sunt pe scară largă |

O precizare pentru IMM-uri: prelucrarea CNP-ului angajaților pentru salarizare și declarații fiscale se face în temeiul unei obligații legale (art. 6 alin. 1 lit. c), nu al interesului legitim, deci nu declanșează singură obligația din Legea 190/2018. Dacă însă colectați copii ale actelor de identitate ale clienților sau vizitatorilor fără o obligație legală, situația trebuie analizată. Pentru firme, vedeți și pagina despre [GDPR pentru firme și IMM-uri](https://kraspdpo.ro/gdpr-pentru/firme-imm/).

#### Ce condiții trebuie să îndeplinească DPO?

DPO se desemnează pe baza calităților profesionale și, în special, a cunoștințelor de specialitate în legislația și practicile din domeniul protecției datelor, precum și a capacității de a îndeplini sarcinile de la art. 39 (art. 37 alin. 5). Nivelul de expertiză necesar depinde de complexitatea și de sensibilitatea prelucrărilor.

Alte reguli din art. 37:

- **alin. (2)** un grup de întreprinderi poate numi un singur DPO, cu condiția ca acesta să fie ușor accesibil din fiecare sediu;
- **alin. (6)** DPO poate fi membru al personalului sau își poate îndeplini sarcinile pe baza unui contract de servicii, adică extern;
- **alin. (7)** operatorul publică datele de contact ale DPO și le comunică autorității de supraveghere. ANSPDCP pune la dispoziție pe [dataprotection.ro](https://www.dataprotection.ro/) modalitatea de comunicare a acestor date.

#### Ce garanții de independență are DPO?

Art. 38 din GDPR cere ca DPO să lucreze independent și fără conflict de interese. Concret:

- este implicat corespunzător și în timp util în toate aspectele legate de protecția datelor (alin. 1);
- primește resursele necesare, acces la date și la operațiunile de prelucrare (alin. 2);
- nu primește instrucțiuni privind modul de îndeplinire a sarcinilor, nu poate fi demis sau sancționat pentru îndeplinirea lor și raportează direct celui mai înalt nivel al conducerii (alin. 3);
- persoanele vizate îl pot contacta direct pentru orice problemă legată de datele lor (alin. 4);
- are obligația de secret sau de confidențialitate (alin. 5);
- poate avea și alte sarcini, dar operatorul se asigură că acestea nu generează conflict de interese (alin. 6).

Conflictul de interese apare atunci când persoana ar ajunge să stabilească ea însăși scopurile și mijloacele prelucrării. Ghidul Grupului de lucru Articolul 29 dă ca exemple funcțiile de conducere: director general, director financiar, șef de resurse umane, șef IT, șef de marketing. Din acest motiv, în multe instituții mici un DPO extern rezolvă mai simplu problema independenței.

#### Ce sarcini are DPO?

Art. 39 alin. (1) enumeră cel puțin următoarele sarcini:

1. informează și consiliază operatorul și angajații cu privire la obligațiile lor;
2. monitorizează respectarea GDPR și a politicilor interne, inclusiv alocarea responsabilităților, acțiunile de sensibilizare, instruirea personalului și auditurile;
3. oferă consiliere privind evaluarea impactului asupra protecției datelor (DPIA) și monitorizează realizarea acesteia (art. 35);
4. cooperează cu autoritatea de supraveghere;
5. este punct de contact pentru autoritatea de supraveghere.

O nuanță importantă: DPO nu răspunde personal pentru conformitate. Răspunderea rămâne a operatorului sau a persoanei împuternicite (art. 24). DPO este consilierul și controlorul intern, nu cel care semnează în locul conducerii.

#### DPO intern sau DPO extern?

Ambele variante sunt legale. Alegerea ține de resurse, de volumul prelucrărilor și de riscul de conflict de interese.

| Criteriu | DPO intern | DPO extern |
|---|---|---|
| Temei | Art. 37 alin. (6), membru al personalului | Art. 37 alin. (6), contract de servicii |
| Independență | Greu de asigurat în organizații mici | Mai ușor de asigurat |
| Expertiză | Necesită formare și actualizare continuă | Adusă de prestator |
| Cost | Timp de lucru al unui angajat | Abonament fix |

#### Cum vă putem ajuta

KRASP DPO S.R.L. preia rolul de [responsabil cu protecția datelor extern](https://kraspdpo.ro/servicii/dpo-extern/) pentru primării, agenții județene și firme private, din 2018. Pentru organizațiile sub 40 de angajați, abonamentul este de 1.500 lei pe trimestru. Detaliile sunt pe pagina de [prețuri](https://kraspdpo.ro/preturi/). Dacă nu sunteți sigur că aveți obligația de a desemna DPO, putem face o [analiză a situației prin consultanță GDPR](https://kraspdpo.ro/servicii/consultanta-gdpr/). După desemnare, verificați și [lista documentelor GDPR obligatorii](https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/). Ne puteți contacta la 0735 77 66 73.

#### Întrebări frecvente

**Primăria trebuie să aibă DPO?**
Da. Art. 37 alin. (1) lit. a) din GDPR obligă toate autoritățile și organismele publice să desemneze un responsabil cu protecția datelor, indiferent de numărul de angajați sau de volumul datelor. Singura excepție privește instanțele care acționează în exercitarea funcției lor judiciare.

**O firmă mică cu camere video și salariați are nevoie de DPO?**
De regulă, nu. Salarizarea și supravegherea video pentru securitate sunt activități auxiliare, nu activitatea principală a firmei. Obligația poate apărea totuși dacă firma prelucrează CNP-ul în temeiul interesului legitim, situație în care art. 4 din Legea 190/2018 cere desemnarea unui DPO.

**Poate fi DPO un angajat al firmei sau al instituției?**
Da. Art. 37 alin. (6) permite ca DPO să fie membru al personalului sau să își îndeplinească sarcinile pe baza unui contract de servicii. Condiția este să nu existe conflict de interese, de aceea directorul, contabilul-șef, șeful de resurse umane sau responsabilul IT nu sunt, de regulă, alegeri potrivite.

**Trebuie DPO să aibă un certificat?**
GDPR nu cere un certificat anume. Art. 37 alin. (5) cere calități profesionale, cunoștințe de specialitate în legislația și practicile privind protecția datelor și capacitatea de a îndeplini sarcinile de la art. 39.

**Ce fac după ce am desemnat DPO?**
Conform art. 37 alin. (7), publicați datele de contact ale DPO, de exemplu pe site și în notele de informare, și le comunicați autorității de supraveghere, ANSPDCP.

### Ce documente GDPR trebuie să aibă o firmă sau o instituție? Lista completă

Sursa: https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/ · autor: Gabriel Crăciunică, KRASP DPO · publicat 2026-09-30, actualizat 2026-09-30

GDPR nu conține o listă unică de documente, dar cere expres câteva: registrul evidenței prelucrărilor (art. 30), informarea persoanelor vizate (art. 13–14), contractele cu persoanele împuternicite (art. 28), evidența încălcărilor securității datelor (art. 33 alin. 5) și evaluarea de impact atunci când este necesară (art. 35). Celelalte documente, cum ar fi politica de securitate, procedura pentru cererile persoanelor sau evidența instruirilor, decurg din obligația operatorului de a demonstra conformitatea (art. 5 alin. 2 și art. 24).

#### Ce documente GDPR sunt obligatorii?

GDPR nu conține o listă unică de documente obligatorii. Regulamentul cere însă expres, prin articole distincte, câteva documente și evidențe, iar pentru restul impune obligația generală de a putea demonstra conformitatea (art. 5 alin. 2 și art. 24). În practică, asta înseamnă tot documente.

Documentele pot fi împărțite în trei categorii:

1. **Obligatorii pentru aproape orice organizație**, pentru că GDPR le cere expres: registrul evidenței prelucrărilor, informarea persoanelor vizate, contractele cu persoanele împuternicite, evidența încălcărilor securității datelor.
2. **Obligatorii când este cazul**: evaluarea de impact (DPIA), actul de desemnare a DPO, evidența consimțămintelor, acordul între operatori asociați.
3. **Necesare pentru a demonstra conformitatea**: politica de securitate, procedurile interne, politica de retenție, evidența instruirilor. Nu sunt numite ca atare în regulament, dar fără ele nu puteți dovedi că respectați art. 5, 24 și 32.

#### Lista documentelor GDPR: tabel de verificare

| Document | Temei | Cine are nevoie | Statut |
|---|---|---|---|
| Registrul evidenței activităților de prelucrare | art. 30 | Practic toate organizațiile cu angajați | Obligatoriu (excepție limitată la art. 30 alin. 5) |
| Note de informare pentru angajați, clienți, cetățeni, vizitatori | art. 13–14 | Toate organizațiile | Obligatoriu (informarea); forma scrisă recomandată |
| Contracte sau acte adiționale cu persoanele împuternicite | art. 28 alin. (3) | Cine folosește contabilitate externă, IT, cloud, firmă de pază | Obligatoriu |
| Registrul încălcărilor securității datelor | art. 33 alin. (5) | Toate organizațiile | Obligatoriu |
| Procedura de gestionare a incidentelor | art. 33–34 | Toate organizațiile | Necesară pentru respectarea termenului de 72 de ore |
| Procedura pentru cererile persoanelor vizate | art. 12, 15–22 | Toate organizațiile | Necesară pentru respectarea termenului de o lună |
| Politica de securitate și descrierea măsurilor tehnice și organizatorice | art. 24, 32 | Toate organizațiile | Necesară pentru a demonstra securitatea |
| Evaluarea impactului asupra protecției datelor (DPIA) | art. 35 | Prelucrări cu risc ridicat | Obligatoriu când este cazul |
| Actul de desemnare a DPO și comunicarea către ANSPDCP | art. 37 alin. (1) și (7) | Autorități publice și organizațiile din art. 37 | Obligatoriu când DPO este obligatoriu |
| Evidența consimțămintelor | art. 7 alin. (1) | Cine prelucrează pe bază de consimțământ | Obligatoriu când este cazul |
| Acord între operatori asociați | art. 26 | Organizațiile care stabilesc împreună scopurile | Obligatoriu când este cazul |
| Politica de retenție (termene de păstrare și ștergere) | art. 5 alin. (1) lit. e) | Toate organizațiile | Bună practică, necesară pentru a demonstra principiul |
| Evidența instruirilor personalului | art. 32 alin. (4), art. 39 | Toate organizațiile | Bună practică, necesară pentru a demonstra instruirea |
| Politica de supraveghere video și nota de informare aferentă | art. 13, Legea 190/2018 art. 5 | Cine are camere video | Obligatorie informarea; politica este bună practică |
| Angajamente de confidențialitate ale personalului | art. 28 alin. (3) lit. b), art. 32 | Toate organizațiile | Bună practică (obligatoriu pentru personalul împuterniciților) |

#### Ce trebuie să conțină registrul evidenței prelucrărilor?

Registrul este documentul central, iar art. 30 alin. (1) îi fixează conținutul minim pentru operator: numele și datele de contact ale operatorului și, după caz, ale DPO; scopurile prelucrării; categoriile de persoane vizate și de date; categoriile de destinatari; transferurile către țări terțe; termenele de ștergere, acolo unde este posibil; o descriere generală a măsurilor de securitate, acolo unde este posibil.

Registrul se ține în scris, inclusiv în format electronic (art. 30 alin. 3), și se pune la dispoziția ANSPDCP la cerere (art. 30 alin. 4). Persoanele împuternicite au și ele obligația de a ține un registru propriu, cu un conținut mai restrâns (art. 30 alin. 2).

Excepția pentru organizațiile sub 250 de angajați (art. 30 alin. 5) se aplică numai dacă prelucrarea nu este susceptibilă să genereze un risc, este ocazională și nu include categorii speciale de date sau date penale. Grupul de lucru Articolul 29 a precizat că o prelucrare care nu este ocazională, cum ar fi salarizarea, trebuie trecută în registru. Detalii despre întocmirea lui găsiți la serviciul de [întocmire a registrului evidenței prelucrărilor](https://kraspdpo.ro/servicii/registru-evidenta-prelucrari/).

#### Ce trebuie să conțină notele de informare?

Nota de informare îi spune persoanei, la momentul colectării datelor, cine le prelucrează, de ce, pe ce temei și ce drepturi are. Conținutul este prevăzut la art. 13 pentru datele colectate direct de la persoană și la art. 14 pentru datele obținute din alte surse.

Elementele principale sunt: identitatea și datele de contact ale operatorului și ale DPO, scopurile și temeiul legal, interesul legitim invocat (dacă este cazul), destinatarii, transferurile către țări terțe, perioada de stocare, drepturile persoanei, dreptul de a depune plângere la ANSPDCP, dacă furnizarea datelor este o obligație legală sau contractuală și existența deciziilor automatizate.

De regulă aveți nevoie de note separate pe categorii de persoane: angajați, candidați, clienți sau cetățeni, vizitatori ai site-ului, persoane filmate de camerele video.

#### Ce trebuie să conțină contractul cu persoana împuternicită?

Art. 28 alin. (3) cere un contract sau alt act juridic scris care stabilește obiectul, durata, natura și scopul prelucrării, tipul de date și categoriile de persoane vizate. Contractul trebuie să prevadă cel puțin că persoana împuternicită:

- prelucrează datele numai pe baza instrucțiunilor documentate ale operatorului;
- asigură confidențialitatea persoanelor autorizate să prelucreze datele;
- aplică măsurile de securitate cerute de art. 32;
- nu recrutează o altă persoană împuternicită fără autorizarea operatorului;
- asistă operatorul la cererile persoanelor vizate și la obligațiile din art. 32–36;
- șterge sau returnează datele la încetarea serviciilor;
- pune la dispoziție informațiile necesare pentru audit și inspecții.

Furnizorii obișnuiți pentru care aveți nevoie de un astfel de contract sunt firma de contabilitate sau de salarizare, furnizorul de programe informatice cu acces la date, furnizorul de găzduire sau cloud, firma de pază care gestionează sistemul video și medicina muncii, în funcție de modul concret în care prelucrează datele.

#### Ce documente sunt necesare pentru incidente de securitate?

Aveți nevoie de două documente: o procedură care spune cine face ce atunci când apare un incident și un registru în care se consemnează toate încălcările. Art. 33 alin. (5) obligă operatorul să documenteze orice încălcare a securității datelor, inclusiv faptele, efectele și măsurile de remediere, chiar și atunci când nu a fost necesară notificarea către ANSPDCP. Pașii concreți sunt descriși în [ghidul despre incidentele de securitate și termenul de 72 de ore](https://kraspdpo.ro/ghid-gdpr/incident-securitate-date-72-ore/).

#### Când este obligatorie evaluarea de impact (DPIA)?

DPIA este obligatorie atunci când o prelucrare este susceptibilă să genereze un risc ridicat pentru drepturile persoanelor (art. 35 alin. 1). Art. 35 alin. (3) dă trei situații în care este cerută expres: evaluarea sistematică și cuprinzătoare a aspectelor personale pe bază de prelucrare automată, inclusiv crearea de profiluri, cu efecte juridice; prelucrarea pe scară largă a datelor sensibile sau penale; monitorizarea sistematică pe scară largă a unei zone accesibile publicului.

ANSPDCP a publicat, conform art. 35 alin. (4), o listă a operațiunilor pentru care DPIA este obligatorie. Lista poate fi consultată pe [dataprotection.ro](https://www.dataprotection.ro/). Pentru analiza propriu-zisă puteți folosi serviciul de [analiză a riscurilor GDPR](https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/).

#### Ce documente suplimentare au instituțiile publice?

Autoritățile și organismele publice au, în plus, obligația de a desemna un DPO (art. 37 alin. 1 lit. a). Aveți nevoie de actul administrativ de desemnare (dispoziție sau decizie), de dovada publicării datelor de contact și de comunicarea acestora către ANSPDCP. Mai multe despre desemnare în [ghidul despre cine are nevoie de DPO](https://kraspdpo.ro/ghid-gdpr/cine-are-nevoie-de-dpo/).

#### Ce greșeli apar frecvent în documentația GDPR?

Cele mai multe probleme nu vin din lipsa documentelor, ci din documente care nu corespund realității:

- **șabloane descărcate** și necompletate cu prelucrările reale ale organizației;
- **registru neactualizat** după schimbarea programului de salarizare, a furnizorului IT sau după montarea camerelor video;
- **consimțământ cerut inutil**, pentru prelucrări care au deja temei în lege sau în contract;
- **lipsa contractelor art. 28** cu furnizorii care au acces la date;
- **registrul incidentelor gol**, deși au existat e-mailuri trimise greșit sau echipamente pierdute;
- **documente fără dovada aplicării**: politica există, dar nimeni nu a fost instruit pe baza ei.

Un document GDPR are valoare în fața ANSPDCP doar dacă descrie ce se întâmplă efectiv în organizație.

#### Cum vă putem ajuta

KRASP DPO S.R.L. întocmește documentația GDPR pornind de la activitatea reală a fiecărei organizații, nu de la șabloane generice. Prin [implementarea GDPR](https://kraspdpo.ro/servicii/implementare-gdpr/) realizăm registrul, notele de informare, contractele cu împuterniciții, procedurile și politica de securitate. Dacă aveți deja documente, un [audit GDPR](https://kraspdpo.ro/servicii/audit-gdpr/) arată ce lipsește și ce trebuie actualizat. Lucrăm din 2018 cu primării, agenții județene și firme private. Ne puteți contacta la 0735 77 66 73.

#### Întrebări frecvente

**Care este cel mai important document GDPR?**
Registrul evidenței activităților de prelucrare (art. 30). El descrie ce date prelucrați, în ce scop, despre cine, cui le transmiteți și cât le păstrați. Din el derivă notele de informare, politica de retenție și analiza de risc.

**Firmele sub 250 de angajați sunt scutite de registrul prelucrărilor?**
Doar parțial și rar în practică. Art. 30 alin. (5) scutește organizațiile sub 250 de angajați numai dacă prelucrarea nu prezintă risc, este ocazională și nu include date sensibile sau penale. Salarizarea este o prelucrare permanentă, așa că orice firmă cu angajați trebuie să o treacă cel puțin pe ea în registru.

**Nota de informare GDPR trebuie să fie scrisă?**
GDPR cere ca informarea să fie concisă, transparentă, ușor accesibilă și formulată clar, în scris sau prin alte mijloace, inclusiv electronic (art. 12 alin. 1). Forma scrisă este recomandată pentru că vă permite să dovediți că ați informat persoanele.

**Trebuie să am contract GDPR cu contabilul extern?**
Da, dacă firma de contabilitate prelucrează date personale în numele dumneavoastră, de exemplu datele angajaților pentru salarizare. Art. 28 alin. (3) cere un contract sau alt act juridic scris cu clauzele minime prevăzute de regulament.

**Cât de des se actualizează documentele GDPR?**
GDPR nu fixează o periodicitate, dar cere ca măsurile să fie revizuite și actualizate atunci când este necesar (art. 24 alin. 1). Practic, documentele se revizuiesc la orice schimbare de activitate, de furnizor sau de sistem informatic și cel puțin anual.

### Camere video și GDPR: ce spune legea despre supravegherea video în firmă și a angajaților

Sursa: https://kraspdpo.ro/ghid-gdpr/gdpr-supraveghere-video/ · autor: Gabriel Crăciunică, KRASP DPO · publicat 2026-09-30, actualizat 2026-09-30

Supravegherea video într-o firmă este permisă dacă are un scop legitim, cum ar fi securitatea persoanelor și a bunurilor, dacă persoanele sunt informate și dacă înregistrările se păstrează doar cât este necesar. Pentru monitorizarea angajaților, art. 5 din Legea 190/2018 cere în plus interes legitim temeinic justificat, informarea prealabilă completă a angajaților, consultarea sindicatului sau a reprezentanților, dovada că mijloacele mai puțin intruzive nu au fost eficiente și stocarea de cel mult 30 de zile, cu excepția situațiilor prevăzute expres de lege sau a cazurilor temeinic justificate.

#### Aveți voie să montați camere video în firmă?

Da. GDPR nu interzice supravegherea video, dar o tratează ca prelucrare de date personale, pentru că imaginea unei persoane identificabile este dată personală (art. 4 pct. 1). Sistemul trebuie să aibă un scop legitim și declarat, un temei legal, să fie proporțional, să fie semnalizat și să păstreze înregistrările doar cât este necesar.

Pentru firmele private, temeiul folosit de regulă este interesul legitim (art. 6 alin. 1 lit. f), de exemplu protecția persoanelor, a bunurilor și a valorilor. Autoritățile publice nu pot invoca interesul legitim pentru atribuțiile lor și trebuie să se sprijine pe o obligație legală sau pe o sarcină de interes public (art. 6 alin. 1 lit. c sau e). Diferențele specifice sunt tratate în pagina despre [GDPR în primării](https://kraspdpo.ro/gdpr-pentru/primarii/).

Înainte de montare trebuie să răspundeți în scris la trei întrebări: ce problemă concretă rezolvă camerele, de ce nu o puteți rezolva cu mijloace mai puțin intruzive și ce zone trebuie acoperite strict pentru acest scop.

#### Ce condiții impune Legea 190/2018 pentru monitorizarea angajaților?

Art. 5 din Legea 190/2018 permite monitorizarea angajaților prin supraveghere video sau prin mijloace de comunicații electronice, în scopul intereselor legitime ale angajatorului, numai dacă sunt îndeplinite cumulativ cinci condiții:

1. interesele legitime urmărite de angajator sunt temeinic justificate și prevalează asupra intereselor sau drepturilor și libertăților angajaților;
2. angajatorul a realizat informarea prealabilă obligatorie, completă și explicită a angajaților;
3. angajatorul a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemelor de monitorizare;
4. alte forme și modalități mai puțin intruzive pentru atingerea scopului nu și-au dovedit anterior eficiența;
5. durata de stocare a datelor este proporțională cu scopul, dar nu mai mare de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate.

Condițiile sunt cumulative. Lipsa uneia singure, de exemplu a consultării reprezentanților angajaților, face monitorizarea nelegală. Pentru fiecare condiție trebuie să aveți o dovadă: analiza interesului legitim, nota de informare semnată sau comunicată, procesul-verbal al consultării, justificarea privind mijloacele alternative, politica de retenție.

Același art. 5 se aplică și monitorizării prin mijloace de comunicații electronice, de exemplu a e-mailului de serviciu, nu doar camerelor video.

#### Cât timp se păstrează înregistrările video?

Pentru monitorizarea angajaților, termenul maxim este de 30 de zile (art. 5 lit. e din Legea 190/2018), cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate. În toate celelalte cazuri se aplică principiul general din GDPR: imaginile se păstrează doar cât este necesar scopului (art. 5 alin. 1 lit. e).

| Situație | Termen de păstrare | Temei |
|---|---|---|
| Supraveghere video care vizează și angajații | Proporțional cu scopul, cel mult 30 de zile | art. 5 lit. e) din Legea 190/2018 |
| Legislație specială care impune un termen | Termenul stabilit de acea normă | Excepția „situații expres reglementate de lege” |
| Incident constatat (furt, agresiune, accident) | Secvența relevantă, până la finalizarea procedurii | Caz temeinic justificat, documentat |
| Supraveghere care nu vizează angajați | Cât este strict necesar scopului | art. 5 alin. (1) lit. e) GDPR |

Orientările 3/2019 ale Comitetului European pentru Protecția Datelor privind prelucrarea datelor prin dispozitive video arată că, de regulă, un incident este descoperit în câteva zile. Cu cât perioada de stocare este mai lungă, în special peste 72 de ore, cu atât este nevoie de mai multă argumentare privind legitimitatea scopului și necesitatea stocării. Configurați sistemul să suprascrie automat înregistrările la expirarea termenului și păstrați separat doar secvențele extrase pentru un incident, cu mențiune în registru.

#### Cum informați persoanele filmate?

Persoanele trebuie informate înainte de a intra în zona supravegheată. Orientările europene recomandă o informare în două niveluri:

- **primul nivel, panoul de avertizare**, amplasat la o distanță rezonabilă de zona filmată, la nivelul ochilor, care conține: identitatea operatorului, scopul supravegherii, drepturile persoanelor, datele de contact ale DPO (dacă există) și unde se găsește informarea completă;
- **al doilea nivel, nota de informare completă**, cu toate elementele din art. 13 GDPR: temeiul legal, interesul legitim, destinatarii, durata stocării, dreptul de a depune plângere la ANSPDCP. Nota poate fi afișată la recepție, pe site sau furnizată la cerere.

Un autocolant care arată doar o cameră nu este suficient. Pentru angajați, informarea trebuie să fie, în plus, prealabilă, completă și explicită, conform Legii 190/2018, de aceea se face de obicei în scris, prin regulamentul intern și o notă dedicată. Lista completă a documentelor este în [ghidul despre documentele GDPR obligatorii](https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/).

#### Unde nu este justificată supravegherea video?

Supravegherea video nu este justificată acolo unde intruziunea în viața privată este disproporționată față de scop. Exemple:

- **spații care țin de intimitate**: toalete, vestiare, dușuri;
- **spații de odihnă sau de servire a mesei** ale angajaților, cu excepția unor situații excepționale și documentate;
- **birouri individuale**, pentru urmărirea permanentă a activității unui angajat, fără un scop de securitate;
- **domeniul public și proprietățile vecine**, dincolo de ce este strict necesar pentru protecția propriului imobil;
- **înregistrarea sunetului**, care este de regulă mult mai intruzivă decât imaginea și rareori poate fi justificată.

Și persoanele fizice trebuie să fie atente. Curtea de Justiție a Uniunii Europene a stabilit în cauza C-212/13 (Ryneš) că o cameră montată de o persoană fizică pe locuința sa, care filmează și spațiul public, nu mai beneficiază de excepția pentru activități exclusiv personale sau domestice.

Persoanele filmate au dreptul de acces la înregistrările în care apar (art. 15). La furnizarea unei copii trebuie protejate celelalte persoane din imagine, de exemplu prin estompare (art. 15 alin. 4).

#### Când este necesară o evaluare de impact (DPIA)?

Evaluarea impactului asupra protecției datelor este obligatorie în cazul monitorizării sistematice pe scară largă a unei zone accesibile publicului (art. 35 alin. 3 lit. c din GDPR). Intră aici, de exemplu, sistemele din centre comerciale, parcări publice mari, piețe sau spații publice urbane.

ANSPDCP a publicat, conform art. 35 alin. (4), o listă a operațiunilor pentru care DPIA este obligatorie, disponibilă pe [dataprotection.ro](https://www.dataprotection.ro/). Pentru un sistem mic, limitat la sediul unei firme, DPIA nu este de regulă obligatorie, dar analiza de proporționalitate și a interesului legitim trebuie oricum documentată. O puteți realiza prin serviciul de [analiză a riscurilor GDPR](https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/).

#### Ce legătură are Legea 333/2003 cu camerele video?

Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor, împreună cu normele sale de aplicare, poate impune anumitor obiective măsuri de securitate, inclusiv sisteme de supraveghere video, stabilite pe baza unei analize de risc la securitatea fizică. În aceste cazuri, sistemul are un temei în legislația specială, dar GDPR și Legea 190/2018 continuă să se aplice: informarea, accesul la imagini, securitatea înregistrărilor și contractul cu firma de pază care le gestionează.

Cele două analize se completează. Analiza de risc la securitatea fizică arată ce trebuie protejat și unde, iar analiza GDPR verifică dacă modul de supraveghere respectă drepturile persoanelor. Fondatorul KRASP DPO este manager de securitate certificat și evaluator de risc la securitatea fizică înscris în registrul național, astfel că cele două perspective sunt privite împreună.

#### Ce verificați înainte de a monta camerele?

1. Stabiliți și scrieți scopul concret (securitatea persoanelor, a bunurilor, a valorilor).
2. Stabiliți temeiul legal: interes legitim pentru firme, obligație legală sau sarcină publică pentru instituții.
3. Documentați analiza interesului legitim și de ce mijloacele mai puțin intruzive nu sunt suficiente.
4. Alegeți amplasarea și unghiurile strict necesare; excludeți spațiile private și domeniul public.
5. Dacă sunt vizați angajații, consultați sindicatul sau reprezentanții și informați-i în scris, înainte de pornire.
6. Montați panourile de avertizare și pregătiți nota de informare completă.
7. Setați termenul de păstrare, de cel mult 30 de zile când sunt vizați angajații, cu suprascriere automată.
8. Limitați accesul la imagini la persoane desemnate și țineți evidența accesărilor și a extragerilor.
9. Încheiați contract conform art. 28 cu firma care instalează sau administrează sistemul, dacă are acces la imagini.
10. Treceți prelucrarea în registrul evidenței prelucrărilor și verificați dacă este necesară DPIA.

#### Cum vă putem ajuta

KRASP DPO S.R.L. verifică sistemele de supraveghere video existente sau planificate din perspectiva GDPR și a Legii 190/2018 și întocmește documentele necesare: analiza interesului legitim, nota de informare, textul panourilor, politica de supraveghere video și, când este cazul, evaluarea de impact. Aceste documente fac parte din [implementarea GDPR](https://kraspdpo.ro/servicii/implementare-gdpr/) sau pot fi realizate separat, prin [consultanță GDPR](https://kraspdpo.ro/servicii/consultanta-gdpr/). Ne puteți contacta la 0735 77 66 73.

#### Întrebări frecvente

**Cât timp se păstrează înregistrările video conform GDPR?**
GDPR cere păstrarea doar cât este necesar scopului (art. 5 alin. 1 lit. e). Pentru monitorizarea angajaților, art. 5 din Legea 190/2018 stabilește un termen de cel mult 30 de zile, cu excepția situațiilor reglementate expres de lege sau a cazurilor temeinic justificate, de exemplu când imaginile sunt necesare într-o anchetă.

**Trebuie să anunț angajații că îi filmez?**
Da. Art. 5 din Legea 190/2018 cere informarea prealabilă, obligatorie, completă și explicită a angajaților, precum și consultarea sindicatului sau, după caz, a reprezentanților angajaților înainte de introducerea sistemului.

**Este suficient un autocolant cu o cameră video la intrare?**
Nu, dacă nu conține informațiile esențiale. Panoul de avertizare trebuie să indice cel puțin identitatea operatorului, scopul supravegherii, drepturile persoanelor și unde se găsește informarea completă, conform art. 13 din GDPR și orientărilor europene privind dispozitivele video.

**Pot monta camere în vestiare sau în toalete?**
Nu. Supravegherea video în spații care țin de intimitatea persoanei nu poate fi justificată ca necesară și proporțională, indiferent de scopul declarat.

**Am nevoie de evaluare de impact pentru camerele video?**
Da, dacă sistemul presupune monitorizarea sistematică pe scară largă a unei zone accesibile publicului (art. 35 alin. 3 lit. c din GDPR) sau se încadrează în lista publicată de ANSPDCP. Pentru un sistem mic, limitat la sediul unei firme, DPIA nu este de regulă obligatorie, dar analiza de proporționalitate trebuie documentată.

### Încălcarea securității datelor: ce faceți în 72 de ore și cum notificați ANSPDCP

Sursa: https://kraspdpo.ro/ghid-gdpr/incident-securitate-date-72-ore/ · autor: Gabriel Crăciunică, KRASP DPO · publicat 2026-09-30, actualizat 2026-09-30

La o încălcare a securității datelor personale, operatorul trebuie să notifice ANSPDCP fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul în care a luat cunoștință de ea, cu excepția cazului în care încălcarea nu este susceptibilă să genereze un risc pentru persoane (art. 33 GDPR). Dacă riscul este ridicat, trebuie informate și persoanele afectate (art. 34), iar orice încălcare, notificată sau nu, se consemnează în registrul intern (art. 33 alin. 5).

#### Ce este o încălcare a securității datelor?

O încălcare a securității datelor cu caracter personal este, conform art. 4 pct. 12 din GDPR, o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale transmise, stocate sau prelucrate în alt mod. Nu contează dacă a fost un atac sau o greșeală umană.

Încălcările se împart, după efect, în trei tipuri:

| Tip | Ce înseamnă | Exemple |
|---|---|---|
| De confidențialitate | Date divulgate sau accesate de persoane neautorizate | E-mail trimis greșit, liste cu CNP-uri publicate din eroare, cont compromis |
| De integritate | Date modificate neautorizat | Date din baza de date alterate de un atacator sau printr-o eroare |
| De disponibilitate | Date pierdute sau inaccesibile | Ransomware, laptop furat fără copie de siguranță, arhivă pe hârtie distrusă |

Un incident poate fi simultan de mai multe tipuri. Un atac ransomware, de exemplu, blochează accesul la date și poate implica și copierea lor de către atacatori.

#### Ce faceți, pas cu pas, când descoperiți un incident?

Ordinea de mai jos urmează obligațiile din art. 33 și 34 și asigură respectarea termenului de 72 de ore:

1. **Opriți sau limitați incidentul.** Deconectați echipamentul infectat de la rețea, schimbați parolele compromise, cereți destinatarului greșit să șteargă e-mailul, blocați accesul la documentul publicat din eroare.
2. **Anunțați imediat persoana desemnată intern.** Angajatul care observă incidentul anunță conducerea și DPO sau persoana responsabilă. Dacă incidentul apare la un furnizor, acesta trebuie să vă anunțe fără întârzieri nejustificate (art. 33 alin. 2).
3. **Stabiliți și notați momentul în care ați luat cunoștință.** De aici curg cele 72 de ore. Notați data și ora.
4. **Strângeți faptele.** Ce s-a întâmplat, când, ce date au fost afectate, câte persoane și câte înregistrări, aproximativ, ce categorii de persoane (angajați, cetățeni, pacienți, elevi).
5. **Evaluați riscul pentru persoane.** Luați în calcul tipul datelor (CNP, date medicale, date bancare), volumul, posibilitatea de identificare, consecințele (fraudă, furt de identitate, discriminare, prejudiciu de imagine) și dacă datele erau criptate.
6. **Decideți asupra notificării către ANSPDCP.** Dacă încălcarea poate genera un risc pentru persoane, notificați autoritatea fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore (art. 33 alin. 1).
7. **Informați persoanele afectate, dacă riscul este ridicat.** Comunicarea se face fără întârzieri nejustificate, într-un limbaj clar și simplu (art. 34).
8. **Consemnați incidentul în registrul intern.** Orice încălcare, inclusiv cele nenotificate, se documentează cu faptele, efectele și măsurile luate (art. 33 alin. 5).
9. **Remediați cauza și revizuiți măsurile de securitate.** Actualizați măsurile din art. 32, instruiți din nou personalul implicat și, dacă este cazul, sesizați organele de urmărire penală.

#### Când începe să curgă termenul de 72 de ore?

Termenul curge de la momentul în care operatorul a luat cunoștință de încălcare. Orientările europene privind notificarea încălcărilor explică faptul că operatorul „ia cunoștință” atunci când are un grad rezonabil de certitudine că a avut loc un incident de securitate care a afectat date personale.

Câteva precizări practice:

- o scurtă verificare inițială, pentru a confirma dacă este un incident real, este acceptată, dar nu poate fi folosită pentru a amâna momentul;
- termenul este exprimat în ore, nu în zile lucrătoare, deci include weekendul și sărbătorile legale;
- dacă notificați după 72 de ore, notificarea trebuie însoțită de motivele întârzierii (art. 33 alin. 1);
- dacă nu aveți toate informațiile, notificați cu ce aveți și completați ulterior, în etape (art. 33 alin. 4).

#### Ce trebuie să conțină notificarea către ANSPDCP?

Notificarea trebuie să cuprindă cel puțin elementele prevăzute la art. 33 alin. (3):

| Element | Temei |
|---|---|
| Natura încălcării, inclusiv categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate | art. 33 alin. (3) lit. a) |
| Numele și datele de contact ale DPO sau ale altui punct de contact | art. 33 alin. (3) lit. b) |
| Consecințele probabile ale încălcării | art. 33 alin. (3) lit. c) |
| Măsurile luate sau propuse pentru remediere, inclusiv pentru atenuarea efectelor negative | art. 33 alin. (3) lit. d) |

ANSPDCP pune la dispoziție un formular de notificare a încălcărilor securității datelor, accesibil de pe site-ul oficial [dataprotection.ro](https://www.dataprotection.ro/). Pregătiți informațiile de mai sus înainte de a începe completarea, pentru a nu pierde timp în ultimele ore ale termenului.

#### Când trebuie informate persoanele afectate?

Persoanele vizate trebuie informate fără întârzieri nejustificate atunci când încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile lor (art. 34 alin. 1). Pragul este mai sus decât pentru notificarea autorității: pentru ANSPDCP ajunge un risc, pentru persoane este nevoie de un risc ridicat.

Comunicarea descrie, într-un limbaj clar și simplu, natura încălcării și cuprinde cel puțin datele de contact ale DPO, consecințele probabile și măsurile luate sau propuse (art. 34 alin. 2). Este util să includeți și recomandări concrete: schimbarea parolei, atenția la mesaje suspecte, blocarea unui card.

Comunicarea nu este necesară în trei situații (art. 34 alin. 3):

1. datele erau protejate prin măsuri care le fac neinteligibile pentru persoane neautorizate, cum ar fi criptarea;
2. ați luat ulterior măsuri care fac improbabilă materializarea riscului ridicat;
3. informarea individuală ar necesita un efort disproporționat, caz în care se face o informare publică sau o măsură similară, la fel de eficace.

ANSPDCP poate cere informarea persoanelor dacă apreciază că riscul este ridicat (art. 34 alin. 4).

#### Cum decideți în funcție de nivelul de risc?

| Nivel de risc pentru persoane | Registru intern (art. 33 alin. 5) | Notificare ANSPDCP (art. 33) | Informarea persoanelor (art. 34) |
|---|---|---|---|
| Improbabil să genereze un risc | Da | Nu | Nu |
| Risc | Da | Da, în 72 de ore | Nu |
| Risc ridicat | Da | Da, în 72 de ore | Da, fără întârzieri nejustificate |

Un exemplu orientativ: un e-mail cu o listă de nume trimis greșit unui coleg din aceeași instituție, care confirmă ștergerea, poate fi încadrat ca improbabil să genereze un risc. Aceeași listă, cu CNP-uri și date medicale, trimisă unei persoane din afară, se încadrează de regulă la risc ridicat. Încadrarea trebuie justificată în scris în registru.

#### Ce obligații are persoana împuternicită?

Persoana împuternicită, de exemplu firma de contabilitate, furnizorul de programe informatice sau de găzduire, trebuie să îl anunțe pe operator fără întârzieri nejustificate după ce ia cunoștință de încălcare (art. 33 alin. 2). Ea trebuie, de asemenea, să îl asiste pe operator în respectarea obligațiilor din art. 32–36 (art. 28 alin. 3 lit. f).

Notificarea către ANSPDCP și informarea persoanelor rămân în sarcina operatorului. De aceea contractul cu furnizorul trebuie să prevadă un termen scurt de anunțare și informațiile pe care acesta trebuie să vi le transmită.

#### Ce riscați dacă nu notificați?

Nerespectarea art. 33 și 34 se încadrează în plafonul de amendă de până la 10 milioane de euro sau 2% din cifra de afaceri (art. 83 alin. 4). Printre criteriile de stabilire a amenzii se află expres modul în care autoritatea a aflat de încălcare, în special dacă operatorul a notificat-o (art. 83 alin. 2 lit. h). Un incident ascuns care ajunge la ANSPDCP printr-o plângere este tratat mai sever decât unul notificat corect. Detalii în [ghidul despre amenzile GDPR și sancțiunile ANSPDCP](https://kraspdpo.ro/ghid-gdpr/amenzi-gdpr-anspdcp/).

#### Cum vă pregătiți înainte de un incident?

Termenul de 72 de ore se respectă greu dacă pregătirea începe în ziua incidentului. Aveți nevoie, dinainte, de:

- o **procedură scrisă** de gestionare a incidentelor, cu roluri și numere de telefon;
- un **registru al incidentelor**, parte din [documentele GDPR obligatorii](https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/);
- **contracte cu furnizorii** care prevăd obligația de anunțare rapidă;
- **copii de siguranță** testate și **criptarea** laptopurilor și a dispozitivelor mobile;
- **personal instruit** să recunoască și să raporteze un incident, prin [instruire GDPR pentru angajați](https://kraspdpo.ro/servicii/instruire-gdpr-angajati/);
- o **analiză a riscurilor** care identifică unde sunt datele sensibile, realizată prin serviciul de [analiză a riscurilor GDPR](https://kraspdpo.ro/servicii/analiza-riscuri-gdpr/).

#### Cum vă putem ajuta

KRASP DPO S.R.L. asistă operatorii în gestionarea incidentelor: evaluarea riscului, redactarea notificării către ANSPDCP și a comunicării către persoane, consemnarea în registru și stabilirea măsurilor de remediere. Prin serviciul de [DPO extern](https://kraspdpo.ro/servicii/dpo-extern/), procedura și registrul incidentelor sunt pregătite dinainte, iar în momentul incidentului aveți un interlocutor care cunoaște deja organizația. Lucrăm din 2018 cu primării, agenții județene și firme private. Pentru o situație urgentă, sunați la 0735 77 66 73 sau folosiți pagina de [contact](https://kraspdpo.ro/contact/).

#### Întrebări frecvente

**Ce este o încălcare a securității datelor cu caracter personal?**
Conform art. 4 pct. 12 din GDPR, este o încălcare a securității care duce, accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale. Exemple: un e-mail cu date trimis unui destinatar greșit, un laptop pierdut, un atac ransomware, un dosar pierdut.

**De când se calculează termenul de 72 de ore?**
De la momentul în care operatorul a luat cunoștință de încălcare, adică atunci când are un grad rezonabil de certitudine că a avut loc un incident care a afectat date personale. Termenul este exprimat în ore, nu în zile lucrătoare, deci include și weekendul.

**Trebuie notificat orice incident la ANSPDCP?**
Nu. Notificarea nu este necesară dacă încălcarea nu este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor. Orice încălcare trebuie însă consemnată în registrul intern, împreună cu motivele pentru care nu a fost notificată (art. 33 alin. 5).

**Ce fac dacă nu am toate informațiile în 72 de ore?**
Notificați în termen cu informațiile disponibile și le completați ulterior, în etape, fără întârzieri nejustificate (art. 33 alin. 4). Dacă notificarea se face după 72 de ore, ea trebuie însoțită de motivele întârzierii (art. 33 alin. 1).

**Ce obligații are firma care prelucrează date în numele meu?**
Persoana împuternicită, de exemplu firma de contabilitate sau furnizorul IT, trebuie să vă anunțe fără întârzieri nejustificate după ce ia cunoștință de o încălcare (art. 33 alin. 2). Notificarea către ANSPDCP rămâne obligația operatorului.

## Consultanță GDPR în Călărași

Sursa: https://kraspdpo.ro/consultanta-gdpr-calarasi/

KRASP DPO are sediul în municipiul Călărași și se deplasează la sediul organizațiilor din județ (municipiile Călărași și Oltenița, orașele Budești, Fundulea și Lehliu-Gară, comunele din județ), precum și din județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța. Pentru restul țării lucrează online.

#### Întrebări frecvente

**Unde găsesc o firmă de consultanță GDPR în Călărași?**
KRASP DPO S.R.L. are sediul în municipiul Călărași, Str. Caișilor nr. 2, Corp A. Ne puteți suna la 0735 77 66 73 sau ne puteți scrie la kraspdpo@gmail.com.

**Veniți la sediul nostru pentru audit și instruire?**
Da. În municipiul Călărași, în Oltenița și în comunele din județ venim la sediul organizației pentru audit, instruire și verificările periodice.

**Lucrați și cu primării de comună?**
Da. Primăriile, indiferent de mărime, sunt obligate să desemneze un responsabil cu protecția datelor, iar noi lucrăm deja cu primării.

**Cât costă un DPO extern în Călărași?**
Abonamentul costă 1.500 lei pe trimestru pentru organizațiile cu mai puțin de 40 de angajați. Pentru organizații mai mari facem ofertă în funcție de numărul de angajați.

## Întrebări frecvente despre GDPR

Sursa: https://kraspdpo.ro/intrebari-frecvente/

#### Răspunsuri scurte

**Ce este GDPR?**
GDPR este Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal. Se aplică din 25 mai 2018 în toate statele UE, iar în România este completat de Legea 190/2018. Detalii în [ghidul nostru](https://kraspdpo.ro/ghid-gdpr/ce-este-gdpr/).

**Cine controlează respectarea GDPR în România?**
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP). Poate face controale, poate da avertismente și amenzi și poate dispune măsuri de remediere.

**Ce este un DPO?**
DPO (Data Protection Officer) este responsabilul cu protecția datelor: persoana care informează și consiliază organizația, monitorizează respectarea GDPR și este punctul de contact cu ANSPDCP. Poate fi angajat sau prestator extern.

**Cine este obligat să aibă DPO?**
Autoritățile și organismele publice, precum și organizațiile a căror activitate principală presupune monitorizarea sistematică pe scară largă sau prelucrarea pe scară largă a datelor sensibile (art. 37 GDPR). Vedeți [cine are nevoie de DPO](https://kraspdpo.ro/ghid-gdpr/cine-are-nevoie-de-dpo/).

**Pot fi amendat dacă sunt o firmă mică?**
Da. GDPR se aplică indiferent de mărimea organizației. Amenzile se stabilesc în funcție de gravitate, durată și măsurile luate. Vedeți [amenzile GDPR](https://kraspdpo.ro/ghid-gdpr/amenzi-gdpr-anspdcp/).

**Ce documente GDPR trebuie să am?**
De regulă: registrul evidenței activităților de prelucrare, note de informare, contracte cu persoanele împuternicite, proceduri pentru drepturile persoanelor și pentru incidente, măsuri de securitate documentate. Lista completă e în [ghidul documentelor GDPR](https://kraspdpo.ro/ghid-gdpr/documente-gdpr-obligatorii/).

**Cât costă serviciile KRASP DPO?**
Abonamentul cu DPO extern costă 1.500 lei pe trimestru pentru organizații cu mai puțin de 40 de angajați, preț final. Detalii pe [pagina de prețuri](https://kraspdpo.ro/preturi/).

**Cât durează implementarea GDPR?**
Pentru o firmă mică sau o primărie de comună, auditul și documentația de bază se pot finaliza în câteva săptămâni. Conformitatea se menține apoi prin monitorizare periodică.

**Lucrați și online?**
Da. În județul Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța venim la sediu; pentru restul țării lucrăm online, cu deplasări atunci când situația o cere.

**Ce fac dacă am pierdut date personale sau am fost atacat informatic?**
Aveți 72 de ore de la momentul în care ați aflat pentru a notifica ANSPDCP, dacă incidentul prezintă un risc pentru persoane. Sunați-ne imediat la 0735 77 66 73 și citiți [pașii de urmat](https://kraspdpo.ro/ghid-gdpr/incident-securitate-date-72-ore/).

**Ce face o firmă de consultanță GDPR?**
Analizează ce date personale prelucrează organizația, întocmește documentele cerute de Regulamentul (UE) 2016/679 și de Legea 190/2018, instruiește personalul și, ca DPO extern, monitorizează conformitatea pe termen lung.

**Cât costă serviciile GDPR la KRASP DPO?**
Pentru organizațiile cu mai puțin de 40 de angajați, abonamentul este de 1.500 lei pe trimestru. Firma nu este plătitoare de TVA, deci acesta este prețul final. Peste 40 de angajați, prețul se stabilește în funcție de numărul de angajați. Detalii pe [pagina de prețuri](https://kraspdpo.ro/preturi/).

**Primăria are obligația să numească un responsabil cu protecția datelor?**
Da. Potrivit art. 37 alin. (1) lit. a) GDPR, orice autoritate sau organism public trebuie să desemneze un DPO. Rolul poate fi îndeplinit de un angajat sau de un prestator extern, pe bază de contract de servicii.

**Lucrați doar în județul Călărași?**
Sediul nostru este în Călărași și mergem la clienți în județ și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța. Pentru organizațiile din restul țării, lucrăm online, cu întâlniri la sediu atunci când situația o cere.

**În cât timp devine o organizație conformă GDPR?**
Depinde de mărime și de câte activități implică date personale. Pentru o firmă mică sau o primărie de comună, auditul și documentația de bază se pot finaliza în câteva săptămâni; conformitatea se menține apoi prin monitorizare periodică.

## Contact

- Telefon: 0735 77 66 73
- WhatsApp: https://wa.me/40735776673
- Email: kraspdpo@gmail.com
- Formular de cerere ofertă: https://kraspdpo.ro/contact/
- Program: Luni–Vineri, 10:00–18:00